Rank Math PRO 3.0.123 phát tán mã độc: Cập nhật thôi chưa đủ

Rank Math PRO 3.0.123 từng được phát hành kèm mã độc qua chính kênh tải xuống và cập nhật của nhà cung cấp. Phạm vi được Rank Math xác nhận là các gói được tải hoặc cập nhật từ 20:02 UTC ngày 15/10 đến 07:12 UTC ngày 16/10/2026, tức 03:02 đến 14:12 ngày 16/10 theo giờ Việt Nam. Nếu gói đó đã được kích hoạt, website cần được coi là đã bị xâm nhập.

Đây là sự cố chuỗi cung ứng phần mềm: mã độc đi vào cùng một bản plugin tưởng như hợp lệ. Wordfence gán mã CVE-2026-111862 và chấm mức Critical 9,8/10. Rank Math đã phát hành bản sạch 3.0.124, nhưng chỉ bấm cập nhật rồi thở phào là chưa đủ.

Website nào bị ảnh hưởng bởi Rank Math PRO 3.0.123?

Cảnh báo chỉ nêu bản PRO, không nêu plugin Rank Math SEO miễn phí trên WordPress.org. Số phiên bản 3.0.123 cũng chưa đủ để kết luận website nhiễm mã độc; thời điểm tải hoặc cập nhật mới là điểm cần đối chiếu.

• Đã cài và kích hoạt trong khung giờ trên: coi website đã bị xâm nhập, kể cả hiện nay đã lên 3.0.124.
• Đã cài nhưng chưa từng kích hoạt: xóa thư mục plugin, cài bản 3.0.124 lấy trực tiếp từ tài khoản Rank Math và quét bảo mật.
• Chỉ tải về, chưa cài hoặc kích hoạt: riêng sự cố này chưa cho thấy website đã bị ảnh hưởng.

Hãy kiểm tra nhật ký cập nhật của hosting, công cụ quản lý WordPress hoặc bản sao lưu. Nếu không xác định được bản 3.0.123 đến máy chủ lúc nào, nên xử lý theo hướng thận trọng hơn thay vì đoán.

Vì sao cập nhật lên 3.0.124 vẫn chưa đủ?

Theo Rank Math và Wordfence, mã độc có thể tạo cửa hậu ở nơi khác, thêm tài khoản quản trị, sửa .htaccess, cài tác vụ định kỳ và đánh cắp thông tin mà tiến trình web đọc được. Nó còn có thể dựng lại cửa hậu khi có người truy cập trang. Cập nhật plugin chỉ thay thư mục Rank Math, không thu hồi những gì đã bị cấy ra ngoài.

Một số dấu hiệu cần tìm gồm kết nối ra rank1cdn[.]com; tài khoản quản trị bắt đầu bằng wpsupport_; email lạ kết thúc bằng @wp-mail[.]net; tệp giả wp-includes/class-wp-cache-util.php; và các mục wp_options tên _uf6qdn2hmm, t8krdk990phb hoặc _np5pvf754c. Không thấy các dấu hiệu này cũng chưa chứng minh hệ thống sạch.

Cần làm gì ngay?

1. Ưu tiên khôi phục từ bản sao lưu sạch. Rank Math khuyên phục hồi cả tệp và cơ sở dữ liệu từ bản sao lưu trước 20:02 UTC ngày 15/10, tương đương trước 03:02 ngày 16/10 tại Việt Nam.
2. Quét cả website và máy chủ. Kiểm tra plugin, theme, thư mục mu-plugins, uploads, cron, tiến trình chạy, SSH authorized_keys và các vị trí mà tài khoản web có quyền ghi. Nếu dùng hosting chia sẻ, yêu cầu nhà cung cấp hỗ trợ điều tra.
3. Đổi toàn bộ bí mật có thể đã lộ. Bao gồm mật khẩu WordPress, cơ sở dữ liệu, hosting, FTP/SFTP/SSH, khóa API, SMTP, cổng thanh toán, khóa và salt của WordPress. Kiểm tra lại xác thực hai lớp của tài khoản quản trị.
4. Cài bản sạch 3.0.124 từ rankmath.com. Gõ địa chỉ trang chính thức trực tiếp. Rank Math nói họ không gửi liên kết đăng nhập hoặc tải plugin qua email, nên email “hỗ trợ khẩn cấp” có nút tải xuống lúc này rất đáng ngờ.

Nếu không có bản sao lưu sạch, đừng xóa ngẫu nhiên vài tệp rồi đưa website hoạt động lại. Hướng dẫn thủ công của Rank Math yêu cầu làm đúng thứ tự để ngăn mã độc tự tạo lại cửa hậu. Với website kinh doanh hoặc giữ dữ liệu khách hàng, nên cô lập hệ thống và nhờ đơn vị ứng cứu sự cố kiểm tra.

Quản trị viên WordPress cũng nên rà các plugin khác. Một bản Rank Math sạch không sửa được lỗ hổng ở nơi khác; trước đây đã có trường hợp Ninja Forms và WPC Product Bundles bị khai thác để chiếm quyền website.

Nguồn kiểm chứng

• Rank Math: thông báo chính thức và hướng dẫn khôi phục
• Wordfence: phân tích CVE-2026-111862 và dấu hiệu xâm nhập
• SecurityWeek: xác nhận độc lập về sự cố chuỗi cung ứng