# Plugin Rank Math PRO esteve 11 horas com malware: como saber se o teu site WordPress foi afetado

> Quem descarregou a versão 3.0.123 do plugin de SEO entre a noite de 15 e a manhã de 16 de outubro pode ter instalado uma porta das traseiras que cria administradores falsos e expõe as palavras-passe da base de dados. A versão gratuita não foi afetada.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/plugin-rank-math-pro-esteve-11-horas-com-malware-como-saber-se-o-teu-site
- Categoria: Segurança
- Autoria: Redação
- Publicado: 21 de outubro de 2026
- Etiquetas: WordPress, Rank Math, Malware, Cadeia de fornecimento

## Em resumo

- A versão 3.0.123 do Rank Math PRO descarregada entre as 21h02 de 15 de outubro e as 8h12 de 16 de outubro (hora de Lisboa) trazia malware.
- A empresa retirou os ficheiros e lançou a versão 3.0.124, que está limpa; o plugin gratuito do WordPress.org não foi afetado.
- Se o plugin adulterado foi ativado, o site deve ser tratado como comprometido e todas as credenciais devem ser trocadas.
- O malware reconstrói a porta das traseiras quando alguém visita o site, por isso desativar ou atualizar o plugin não chega.
- Entre os sinais a procurar estão administradores com nomes começados por wpsupport_ e o ficheiro falso class-wp-cache-util.php.

A versão paga do Rank Math, um dos plugins de SEO mais usados em sites WordPress, foi distribuída com malware a partir do site oficial da empresa durante cerca de 11 horas. Segundo o aviso publicado pela Rank Math, o problema atinge quem descarregou ou atualizou para o Rank Math PRO 3.0.123 entre as 21h02 de 15 de outubro e as 8h12 de 16 de outubro, em hora de Lisboa. A empresa fala num "número limitado" de utilizadores e já disponibiliza a versão 3.0.124, que está limpa. O plugin gratuito, distribuído pelo WordPress.org e ativo em mais de quatro milhões de sites, não foi afetado.

## O que o malware faz

Os ficheiros adulterados davam ao atacante acesso permanente ao site assim que o plugin era ativado. De acordo com a Rank Math, o código comunica com o domínio rank1cdn.com e volta a criar uma porta das traseiras escondida sempre que alguém visita o site. A empresa avisa que ficam expostas as credenciais da base de dados, as chaves de API e outros segredos a que o servidor tem acesso. O BleepingComputer encontrou uma amostra de malware com os mesmos indicadores, capaz de criar contas de administrador e de roubar credenciais de serviços como a AWS, a Cloudflare, a Google Cloud e a Azure, mas não confirmou que tenha sido distribuída através do plugin. A empresa não respondeu ao BleepingComputer sobre quantos sites foram afetados nem sobre a forma como os ficheiros foram alterados.

## O que fazer se tens um site com o Rank Math PRO

Começa por ver no painel do WordPress, em Plugins, que versão tens instalada. Se instalaste e ativaste a 3.0.123 naquele intervalo, a recomendação da Rank Math é tratar o site como comprometido e repô-lo a partir de uma cópia de segurança anterior às 21h02 de 15 de outubro. Se a instalaste mas nunca a ativaste, apaga os ficheiros, instala a 3.0.124 a partir da tua conta e faz uma análise de segurança. Se só descarregaste o ficheiro sem o instalar, a empresa diz não haver indícios de risco.

Sem cópia de segurança, a limpeza tem de ser feita por ordem, porque desativar ou atualizar o plugin não remove a ameaça. Primeiro apaga a pasta rank-math-pro inteira e as entradas maliciosas indicadas no aviso, na tabela wp_options, e bloqueia, se puderes, as ligações para rank1cdn.com. Depois procura administradores desconhecidos com nomes começados por wpsupport_ ou emails terminados em @wp-mail.net, e o ficheiro wp-includes/class-wp-cache-util.php, que não faz parte do WordPress. Em qualquer dos casos, troca todas as palavras-passe e chaves: base de dados, chaves e salts do wp-config.php, acessos ao alojamento, FTP e SSH, e chaves de pagamentos ou de envio de email guardadas no site. Se não te sentes à vontade com estes passos, o aviso aconselha a pedir ajuda ao fornecedor de alojamento.