Zasažené byly konkrétní balíčky placeného pluginu pro WordPress stažené během necelých dvanácti hodin. Web po aktivaci takového balíčku vyžaduje úplné vyčištění nebo obnovu, i když už běží nová verze.

Wordfence 16. října 2026 upozornil na malware v části distribuovaných balíčků Rank Math SEO PRO 3.0.123. Výrobce vymezil zasažené období od 15. října ve 20:02 UTC do 16. října v 07:12 UTC, tedy od čtvrtka 22:02 do pátku 09:12 českého letního času. Šlo o stažení nebo aktualizace z distribučního systému placené verze. Bezplatného pluginu z WordPress.org se toto oznámení netýká.

Rozhodující není pouze číslo 3.0.123, ale také okamžik získání balíčku a jeho aktivace. Pokud byl škodlivý balíček nainstalován a aktivován, výrobce doporučuje považovat web za kompromitovaný. Pouhé stažení bez instalace a aktivace samo o sobě není důkazem napadení webu. Balíček nainstalovaný bez aktivace je potřeba odstranit, nahradit čistou verzí a provést kontrolu.

Čistou náhradou je Rank Math PRO 3.0.124. Aktualizace ale přepíše jen součásti pluginu a nemusí odstranit soubory, účty ani plánované úlohy vytvořené jinde. Podle upozornění může malware při návštěvě webu obnovovat skrytý přístup. Wordfence incident eviduje jako CVE-2026-111862 se skóre CVSS 9,8. Jde o kompromitaci distribuovaných balíčků, nikoli o závěr, že každá instalace stejného čísla verze byla napadena.

Rank Math jako preferovanou cestu uvádí obnovu webu i databáze z čisté zálohy před začátkem uvedeného okna. Následuje kontrola a výměna dostupných přihlašovacích údajů a tajemství; čistý plugin se instaluje až po odpovídající nápravě. Pokud záloha není, návod před ručním hledáním dalších změn požaduje odstranit celý adresář rank-math-pro, odstranit tři určené záznamy z wp_options a podle možností zablokovat odchozí spojení na rank1cdn[.]com. Samotná deaktivace nestačí.