La recommandation de base en sécurité WordPress est de mettre à jour vite. Elle repose sur une hypothèse rarement formulée : la mise à jour vient d'une source sûre. L'incident Rank Math PRO montre ce qui arrive quand cette hypothèse tombe.
Rank Math est l'une des deux grandes extensions de référencement de WordPress. Sa version gratuite, distribuée par WordPress.org, équipe plus de quatre millions de sites. Sa version payante, Rank Math PRO, se télécharge et se met à jour depuis les serveurs de l'éditeur. C'est ce canal qui a été compromis.
Onze heures de distribution
Selon l'avis publié par Rank Math, les copies de la version 3.0.123 téléchargées ou installées par mise à jour entre le 15 octobre à 22 h 02 et le 16 octobre à 9 h 12, heure de Genève, contenaient un code malveillant. L'éditeur a retiré les fichiers et publié une version saine, la 3.0.124. L'incident est référencé CVE-2026-111862, avec une note de 9,8 sur 10.
La plage horaire compte. Une mise à jour distribuée le soir et retirée le lendemain matin touche en priorité les sites qui se mettent à jour seuls, pendant que personne ne regarde. C'est exactement le comportement que l'on recommande d'activer.
Deux précisions rassurantes. La version gratuite de WordPress.org n'est pas concernée. Et avoir la version 3.0.123 ne prouve rien en soi : seules les copies obtenues pendant la fenêtre étaient modifiées.
Ce que fait le code malveillant
D'après Rank Math et les analyses de Wordfence, le code installe un accès persistant, communique avec un domaine imitant celui de l'éditeur, rank1cdn.com, et recrée sa porte dérobée à chaque visite du site. Supprimer un fichier ne suffit donc pas : il revient à la page suivante.
Les indicateurs publiés sont précis : trois entrées ajoutées dans la table des options de WordPress, un faux fichier du cœur de WordPress nommé class-wp-cache-util.php, des fichiers .cache rendus exécutables par une règle .htaccess, des comptes administrateurs commençant par wpsupport_, et des tâches planifiées sur le serveur. Tout secret lisible par le serveur web, à commencer par le fichier wp-config.php, doit être considéré comme volé.
Trois situations, trois réponses
L'éditeur distingue trois cas, et la réponse dépend de celui dans lequel vous vous trouvez :
- La 3.0.123 a été installée pendant la fenêtre et activée. Le site est compromis. Il faut restaurer les fichiers et la base de données depuis une sauvegarde antérieure au 15 octobre à 22 h, changer tous les mots de passe et clés d'API, puis installer la 3.0.124.
- Elle a été installée mais jamais activée. Supprimer le dossier de l'extension, installer la 3.0.124 et lancer une analyse.
- Le fichier a été téléchargé sans être installé. Aucun signe de compromission de ce seul fait.
Sans sauvegarde exploitable, l'ordre du nettoyage est essentiel, parce que la porte dérobée se reconstruit. Il faut d'abord supprimer le dossier de l'extension, effacer les trois options malveillantes et bloquer le domaine rank1cdn.com, puis seulement traiter le reste. Restaurer uniquement les fichiers ne suffit pas : les options malveillantes sont dans la base de données.
Faut-il couper les mises à jour automatiques ?
La tentation est compréhensible, et ce serait une erreur. Le même mois, plusieurs failles critiques exploitables sans compte ont été corrigées dans des extensions populaires, et les campagnes d'exploitation démarrent en quelques jours, comme nous l'expliquions dans délai de correctif. Un site qui attend deux semaines pour se mettre à jour reste plus exposé qu'un site mis à jour automatiquement.
La bonne réponse est de distinguer les extensions. Les correctifs de sécurité des extensions gratuites distribuées par WordPress.org passent par un canal surveillé, et l'automatique y reste pertinent. Les extensions premium qui se mettent à jour depuis le serveur de leur éditeur dépendent entièrement de la sécurité de cet éditeur ; pour celles-là, un délai de vingt-quatre à quarante-huit heures, le temps qu'un incident éventuel soit signalé, est un compromis raisonnable.
Deux garde-fous rendent l'automatique supportable. Une sauvegarde quotidienne conservée hors du serveur, qui permet de revenir à l'état de la veille, et un journal des mises à jour, qui permet de savoir ce qui a changé et quand. Avec l'un et l'autre, l'incident Rank Math se règle en une heure. Sans eux, il faut reconstruire un site.
Ce que couvre le contrat
Sur les sites que nous maintenons, les mises à jour sont journalisées et précédées d'une sauvegarde. Le 16 octobre, nous avons recherché la version 3.0.123 et les indicateurs publiés sur chaque site équipé de Rank Math PRO, puis appliqué la 3.0.124. Les extensions premium passent par une file d'attente de quarante-huit heures, les correctifs de sécurité critiques étant traités à part.
Ce fonctionnement relève de la maintenance WordPress à 500 HT / an. Pour un nettoyage sur un site non suivi, voir notre article sur la reprise d'un site piraté, ou l'urgence 24/7 à 230 HT de l'heure. Les consignes de l'éditeur sont publiées sur la base de connaissances Rank Math.
À retenir
Pendant onze heures, la mise à jour officielle de Rank Math PRO 3.0.123 contenait une porte dérobée qui se reconstruit seule. La version gratuite n'est pas touchée. Si la version piégée a été activée, restaurez fichiers et base de données depuis une sauvegarde antérieure au 15 octobre à 22 h et changez tous les secrets. Gardez les mises à jour automatiques, mais différez légèrement les extensions premium et tenez une sauvegarde quotidienne hors du serveur.
Vous utilisez Rank Math PRO et vous n'êtes pas certain de votre version ? Écrivez-nous, nous vérifions pour vous.