Rank Math SEO PRO:n tietoturvapoikkeama koskee version 3.0.123 saastuneita asennuspaketteja, joita jaettiin lisäosan viralliselta verkkosivustolta lokakuussa 2026. Jos saastunut paketti asennettiin ja aktivoitiin, WordPress-sivustoa on käsiteltävä murrettuna. Päivitys puhtaaseen versioon ei yksin poista sivustolle jo syntyneitä takaovia.
Yrityksen ensimmäinen tehtävä on selvittää lisäosan latausajankohta ja alkuperä. Pelkkä versionumero 3.0.123 ei osoita tietomurtoa, eikä tapausta ole ulotettu WordPress.orgin kautta jaeltuun ilmaiseen Rank Math SEO -lisäosaan.
Mitä Rank Math SEO PRO -lisäosalle tapahtui?
Rank Math SEO PRO on maksullinen WordPress-lisäosa, jolla hallitaan sivuston hakukoneoptimointia. Sen version 3.0.123 osaan jaelluista paketeista oli lisätty haittakoodia. Kyse on toimitusketjuhyökkäyksestä: haitta saapui sivustolle luotetun ohjelmiston jakelukanavan kautta, eikä hyökkääjän tarvinnut ensin hyödyntää erillistä haavoittuvuutta kohdesivustossa.
- Jakeluikkuna: 15.10.2026 kello 20.02 UTC alkaen, 16.10.2026 kello 07.12 UTC asti. Suomen kesäajassa ajankohta oli 15.10. kello 23.02 alkaen, 16.10. kello 10.12 asti.
- Riskin kohde: jakeluikkunan aikana saadut saastuneet Rank Math SEO PRO 3.0.123 -paketit.
- Korvaava julkaisu: haitalliset paketit poistettiin jakelusta ja tilalle julkaistiin puhdas versio 3.0.124.
- Laajuus: saastuneiden PRO-asennusten määrää ei ole vahvistettu.
Haittakoodi käynnistyi saastuneen lisäosan aktivoinnin yhteydessä. Sen kuvattuihin toimintoihin kuuluivat yhteydenotto verkkotunnukseen rank1cdn[.]com, pysyvän pääsyn rakentaminen sekä takaovien palauttaminen sivustokäyntien yhteydessä. Myös luvattomat ylläpitotilit ja palvelimen saatavilla olevien salaisuuksien paljastuminen kuuluvat tutkittaviin riskeihin.
Miten yritys tarkistaa oman sivustonsa altistumisen?
Altistumisen arviointi perustuu paketin alkuperään, latausajankohtaan ja aktivointiin. Nykyinen versionumero ei yksin riitä: jo päivitetty sivusto on voinut käyttää saastunutta pakettia aikaisemmin.
Tarkista ylläpidon päivityshistoria, mahdolliset lataustiedot ja palvelinlokit. Selvitä myös, onko sama paketti viety useille sivustoille keskitetyn ylläpidon kautta. Jos käytettävissä olevat tiedot eivät riitä rajaamaan altistumista pois, sivusto tarvitsee tarkemman teknisen tutkimuksen.
Suomi Solutions voi auttaa kokoamaan WordPress-ylläpidon ja palvelinympäristön havainnot samalle aikajanalle. Tavoitteena on erottaa sivustot, joille riittää turvallisen version varmistaminen, niistä ympäristöistä, joissa tarvitaan tietoturvapoikkeaman selvitys.
Miksi pelkkä lisäosan päivitys ei riitä?
Lisäosan päivittäminen vaihtaa lisäosan tiedostoja, mutta ei välttämättä poista muualle kirjoitettuja takaovia, luvattomia käyttäjätilejä tai ajastettuja tehtäviä. Myöskään lisäosan poistaminen käytöstä ei palauta jo paljastuneita tunnuksia turvallisiksi.
Saastuneen sivuston tutkinnassa on tarkastettava WordPressin lisäksi sen palvelinympäristö. Huomioitavia kohteita ovat poikkeavat PHP-tiedostot, PHP-koodina suoritettavat .cache-tiedostot, .htaccess-muutokset, tietokantaan lisätyt merkinnät sekä tehtävät, jotka voivat palauttaa poistetun haittakoodin. Tiedoston nimi tai pääte ei yksin ratkaise, onko tiedosto haitallinen.
Suomi Solutionsin käytännön suositus on erottaa lisäosan korjaaminen ja ympäristön puhdistaminen omiksi työvaiheikseen. Päivitys sulkee yhden jakeluun liittyvän riskin, mutta liiketoiminnan jatkuvuus edellyttää myös varmuutta siitä, ettei hyökkääjän pääsy säily muualla.
Miten vaikutukset voivat ulottua verkkosivuston ulkopuolelle?
Haittakoodin saatavilla olevat tietokantatunnukset, API-avaimet ja muut salaisuudet voivat avata pääsyn myös sivustoon liitettyihin palveluihin. Riski riippuu siitä, mitä tunnuksia palvelimella on ja millaiset käyttöoikeudet niille on annettu.
Yrityksen arjessa tämä voi tarkoittaa verkkokaupan häiriöitä, lomakkeilla kerättävien tietojen vaarantumista tai luvattomia muutoksia sivuston sisältöön. Haitalliset uudelleenohjaukset voivat puolestaan heikentää asiakkaiden luottamusta ja hakunäkyvyyttä. Nämä ovat mahdollisia seurauksia, eivät vahvistettuja vaikutuksia jokaisella altistuneella sivustolla.
Suomi Solutions voi auttaa kartoittamaan sivuston integraatiot ja tunnusten käyttöoikeudet. Näin tunnusten uusiminen kohdistuu myös niihin ulkoisiin palveluihin, joihin verkkopalvelimelta on ollut pääsy.
Mitä altistuneelle WordPress-sivustolle pitää tehdä nyt?
- Säilytä tutkinnan tiedot. Tallenna lokit, havaittu paketti ja keskeiset aikaleimat ennen puhdistusta. Rajoita tarvittaessa sivuston käyttöä ja verkkoyhteyksiä hallitusti.
- Estä tunnettu haitallinen yhteys. Estä palvelimelta lähtevät yhteydet verkkotunnukseen rank1cdn[.]com ja etsi siihen liittyviä tapahtumia lokeista. Yhteyden puuttuminen lokeista ei yksin osoita sivustoa puhtaaksi.
- Tutki pysyvä pääsy. Tarkasta ylläpitotilit, muuttuneet tiedostot, tietokanta ja ajastukset sekä mahdolliset muutokset WordPress-hakemiston ulkopuolella.
- Palauta luotettu ympäristö. Käytä puhtaaksi varmistettua varmuuskopiota tai rakenna ympäristö uudelleen luotetuista paketeista. Ota käyttöön versio 3.0.124 tai uudempi toimittajan turvalliseksi vahvistama versio.
- Uusi mahdollisesti paljastuneet tunnukset. Vaihda tarvittavat salasanat, API-avaimet, SSH-avaimet ja WordPressin istuntojen suojausavaimet puhtaasta ympäristöstä käsin. Mitätöi vanhat istunnot ja tarkista tunnusten käyttö muissa palveluissa.
- Arvioi tiedottaminen ja ilmoitusvelvoitteet. Selvitä, onko henkilötietoja voinut vaarantua, ja etene organisaation poikkeamamenettelyn mukaisesti.
Jos saastunut paketti asennettiin mutta sitä ei koskaan aktivoitu, poista paketti, hanki puhdas versio ja tarkasta sivusto. Jos aktivointihistoria on epäselvä, älä perusta turvallisuusarviota pelkkään oletukseen käyttämättömästä lisäosasta.
Tapauksen vuoksi kaikkia automaattisia päivityksiä ei kannata poistaa harkitsematta käytöstä. Olennaisempaa on kirjata päivitystapahtumat, valvoa poikkeavia tiedostomuutoksia ja varmistaa, että palautus todella onnistuu. Suomi Solutions auttaa selvittämään sivuston tilanteen ja suunnittelemaan puhdistuksen sekä palautumisen niin, että myös palvelinympäristö ja sivuston käyttämät tunnukset tulevat huomioiduiksi.
