Ce qui s’est passé
Rank Math a signalé que certaines copies de Rank Math PRO 3.0.123, téléchargées ou mises à jour entre le 15 octobre 2026 à 20 h 02 UTC et le 16 octobre à 07 h 12 UTC, contenaient un code malveillant. Le problème concerne la distribution de la version PRO ; il ne faut pas l’étendre sans preuve à l’extension gratuite.
Il s’agit d’un incident de chaîne d’approvisionnement logicielle : le logiciel a pu être obtenu via un canal de mise à jour légitime. Rank Math a retiré les fichiers concernés et publié la version propre 3.0.124. La vulnérabilité est référencée sous CVE-2026-111862.
Pourquoi le numéro de version ne suffit pas
Toutes les installations portant le numéro 3.0.123 ne sont pas automatiquement compromises : la date d’obtention et l’activation du paquet comptent. Inversement, voir 3.0.124 aujourd’hui ne prouve pas qu’un site n’a jamais exécuté un paquet malveillant.
Cette nuance rejoint notre guide « Veille logiciels : pourquoi connaître la version ne suffit pas » : la provenance, l’historique des mises à jour et le contexte d’exécution sont aussi essentiels que la version affichée.
Trois situations à distinguer
- Paquet téléchargé mais jamais installé : supprimer cette copie et récupérer une version saine depuis le compte officiel de l’éditeur.
- Paquet installé mais jamais activé : supprimer les fichiers suspects, installer la version propre et réaliser une vérification de sécurité.
- Paquet concerné installé et activé : considérer le site comme compromis, même s’il affiche désormais 3.0.124.
En cas de doute sur l’heure du téléchargement ou l’activation, consulter les journaux disponibles et contacter l’assistance Rank Math plutôt que de conclure à l’absence de risque.
Que faire si le site a exécuté une copie compromise ?
- Préserver les éléments utiles : conserver les journaux, les informations d’installation et les sauvegardes avant nettoyage ; isoler le site si nécessaire pour limiter les dégâts.
- Restaurer depuis un état sain : privilégier une sauvegarde vérifiée du site et de la base de données antérieure au 15 octobre à 20 h 02 UTC, conformément aux recommandations de l’éditeur. Si aucune sauvegarde fiable n’existe, faire intervenir une personne compétente pour rechercher et supprimer les mécanismes de persistance.
- Rechercher la persistance : contrôler les fichiers PHP inhabituels, les extensions et thèmes, les comptes administrateurs inconnus, les tâches planifiées et les modifications de configuration. Une simple réinstallation de l’extension ne supprime pas nécessairement ces éléments.
- Renouveler les secrets : mots de passe WordPress et hébergement, identifiants de base de données, clés API et autres accès potentiellement exposés. Vérifier aussi les accès tiers.
- Réinstaller proprement et surveiller : utiliser une version saine téléchargée directement depuis le site officiel, scanner le site, contrôler les journaux et vérifier l’absence de réapparition d’éléments suspects.
Important : un scanner qui ne détecte rien ne garantit pas à lui seul qu’une compromission a été éliminée. En cas d’incident avéré, la restauration vérifiée et la rotation des secrets restent essentielles.
Les bonnes pratiques à retenir
- Inventorier les extensions, leurs versions, leurs sources et les dates de mise à jour.
- Conserver des sauvegardes testées et antérieures aux incidents potentiels.
- Surveiller les comptes administrateurs, les fichiers modifiés et les tâches planifiées.
- Ne jamais supposer qu’un correctif efface automatiquement les traces d’une intrusion.
Pour suivre les versions et les avis de sécurité, la Veille logiciels TechAtelier peut servir de point de départ. Elle ne remplace ni les alertes de l’éditeur, ni une analyse de compromission.
Sources
- Rank Math — avis de sécurité et consignes de récupération
- Rank Math — historique des versions
- GitHub Advisory — CVE-2026-111862
Article publié le 20 octobre 2026.