WordPressの「Rank Math PRO」にマルウェア 10月16日の更新は確認を

Rank Mathは2026年10月16日(日本時間17日)、有料版「Rank Math PRO」の3.0.123の一部に、マルウェア(悪いことをするプログラム)が混ざっていたと告知した。Rank Mathは、WordPress(ブログやお店のサイトを作る仕組み)に足して、検索で見つかりやすくする道具だ。

何が起きたのか

対象は、協定世界時の10月15日20時2分から16日7時12分までに、3.0.123をダウンロードしたか、更新で入れたサイトだ。日本時間では10月16日の午前5時2分から午後4時12分にあたる。10月7日に出た3.0.123のうち、この時間に配られたものだけが対象だ。

Rank Mathは問題のファイルを消し、安全な3.0.124を出した。対象の客には手順を知らせたという。WordPress.orgで配る無料版「Rank Math SEO」は対象外だ。

セキュリティ会社のPatchstackは、Rank Math PROの基盤を狙ったサプライチェーン攻撃(ソフトが届く経路を狙う攻撃)だとしている。Wordfenceは危険度を10点満点で9.8の「緊急」とした。Wordfenceによると、マルウェアはサイトに居座り、ページが見られるたびに隠れた裏口(バックドア)を作り直すおそれがある。パスワードや外部のサービスの鍵が漏れるおそれもある。Rank Mathは、混入の経路や件数を明かしていない。

かんたんに言うと

いつもの送り主の荷物に、半日だけ中身をすり替えた箱が混ざったようなものだ。箱を捨てても、家に入り込んだものは残る(TECHNOVAの見方)。

使っている人がすること

まず管理画面の「プラグイン」で、Rank Math PROを使っているかと版を確かめる。3.0.123というだけで、乗っ取られたとは限らない。その時間に入れていたら、Rank Mathの案内は次のとおりだ。

• 有効にしていた: 乗っ取られたものとして扱う。日本時間16日午前5時2分より前のバックアップで、サイトとデータベースを戻す。WordfenceやSucuriで点検する。WordPressやサーバー、FTPなどのパスワードや外部のサービスの鍵(APIキー)を全部変え、最後に3.0.124を入れる
• 入れたが有効にしていない: ファイルを消して3.0.124を入れ、念のため点検する
• ダウンロードしただけ: この件だけでは、乗っ取られた形跡はない

WordfenceとRank Mathは、更新や停止だけでは足りないとする。ほかの場所に置かれたファイルなどが残るためだ。自信がなければ、レンタルサーバーの会社や専門家に頼むよう勧めている。Rank Mathは、ログインやダウンロードのリンクをメールで送らない。そうしたメールは疑いたい。

日本ではどうなるのか

無料版は、WordPress.orgの日本語のページで有効インストール数が「4百万以上」と出ている。告知は英語で、日本向けの個別の案内は見当たらない。なお、10月13〜16日にrankmath.comで作った無料のアカウントは、今回の対応で消された。Googleのデータとの連携などを使うには、作り直しが要る。

まとめ

正規の配布元からの更新に、マルウェアが混ざった。PROを使う人は、10月16日に更新していないかをまず確かめたい。