10 月 15 日到 16 日之間，從 Rank Math 官網下載或透過更新拿到的 Rank Math PRO 3.0.123 被放進了惡意程式。官方說，有安裝而且啟用的網站要當成已經被入侵：最穩的做法是還原到事件發生前的備份，換掉所有密碼與金鑰，再裝乾淨的 3.0.124。只裝免費版 Rank Math SEO（從 WordPress.org 安裝的那個）的網站不受這次事件影響。下面整理怎麼判斷自己有沒有中、沒有備份時怎麼照順序清，以及清完之後怎麼確認。
本文依 Rank Math 官方公告、Wordfence、Patchstack 與資安媒體的報導整理，資料截至 2026 年 10 月 29 日；處理步驟與受影響範圍以 Rank Math 官方公告為準。
發生了什麼事
Rank Math 是很多 WordPress 網站拿來做 SEO 設定的外掛，分成免費版和付費的 PRO。Rank Math 在 10 月 16 日發出資安公告：在 UTC 時間 10 月 15 日 20:02 到 10 月 16 日 07:12 之間（台灣時間 10 月 16 日凌晨 4:02 到下午 3:12），從 rankmath.com 下載或透過更新拿到的 Rank Math PRO 3.0.123，檔案裡有惡意程式。官方已經移除這批檔案，並發布乾淨的 3.0.124。
Wordfence 把這件事列為供應鏈攻擊，編號 CVE-2026-111862，嚴重程度 9.8 分（滿分 10 分）。依 Wordfence 與官方的說明，惡意程式會在網站裡留下長期的存取權限、對外連到 rank1cdn.com、在有人瀏覽網站時把隱藏的後門重建回來，網站伺服器讀得到的 WordPress 帳密、資料庫帳密與 API 金鑰也可能外洩。BleepingComputer 分析的相關樣本，還會建立以 wpsupport_ 開頭的管理員帳號。
這次麻煩的地方在於，平常防外掛漏洞的方法是「保持最新版」，這次卻是官方發出去的更新本身被動了手腳。Patchstack 也說明，攻擊打的是 Rank Math 自己的下載與更新系統，沒辦法用防火牆規則擋。截至各家報導，Rank Math 還沒有公開惡意檔案是怎麼進到系統裡的，也沒有說有多少人拿到。
先判斷你的網站有沒有中
Wordfence 提醒，光看版本號分不出你拿到的是不是有問題的那份；官方也說，裝過 3.0.123 不代表網站一定被入侵。關鍵是那段時間有沒有下載或更新到 PRO 版，以及有沒有啟用。官方表示手上有下載紀錄，收到 Rank Math 通知信的人，就算網站現在已經換成別的版本，也要照通知處理。
| 你的狀況 | 該怎麼做 |
|---|---|
| 只用免費版 | 從 WordPress.org 安裝的免費版 Rank Math SEO 不受影響，這次事件不用處理。 |
| 下載了但沒安裝 | 官方說單就這件事，看不出網站有被入侵；把下載的檔案刪掉即可。 |
| 安裝了但沒啟用 | 刪掉受影響的外掛檔案，從 Rank Math 帳號重新安裝 3.0.124，再跑一次資安掃描。 |
| 安裝並啟用過 | 當成網站已經被入侵，照下面的方法一或方法二完整處理。 |
不確定的話，先回想 10 月 16 日那天網站有沒有更新過 Rank Math PRO。真的查不出來，照「安裝並啟用過」處理比較保險。
方法一：還原事件前的備份（官方建議）
手上有 UTC 時間 10 月 15 日 20:02 以前（台灣時間 10 月 16 日凌晨 4:02 以前）的整站與資料庫備份，就還原它。還原之後用 Wordfence、Sucuri 這類資安工具掃一次，換掉所有密碼、資料庫帳密與 API 金鑰，最後再從 Rank Math 帳號安裝乾淨的 3.0.124。
要注意的是，還原會把備份之後新增的內容一起蓋掉。如果網站有接訂單、會員註冊或留言，還原前先把 10 月 16 日之後的新訂單與新資料匯出或記下來，還原完再補回去。備份放在主機商那裡的，先問清楚他們保留了多久以前的版本，有些主機只留最近幾天。
方法二：沒有備份，就照順序手動清
官方特別強調順序，因為惡意程式會在有人瀏覽網站時重建後門，順序錯了，刪掉的東西很快又長回來。
- 先切斷它重建自己的路。用主機的檔案管理或 FTP 把整個 rank-math-pro 資料夾刪掉，只在後台停用外掛不夠；到資料庫的 wp_options 資料表，刪掉 option_name 是
_uf6qdn2hmm和t8krdk990phb的兩筆；主機或防火牆允許的話，封鎖網站對外連到rank1cdn.com。 - 找攻擊者留下的其他東西。包括 mu-plugins、其他外掛與佈景主題資料夾裡多出來的 PHP 後門；帳號以 wpsupport_ 開頭、或 Email 結尾是 @wp-mail.net 的陌生管理員；不屬於 WordPress 核心的
wp-includes/class-wp-cache-util.php，刪掉之後用wp core verify-checksums核對核心檔案；讓 .cache 檔案被當成 PHP 執行的 .htaccess 規則；標記 #ms6v46 的排程；uploads 資料夾裡的 PHP 檔。網站以外，主機上的 SSH 金鑰、其他使用者的排程與執行中的程式也要看。 - 換掉所有帳密。WordPress 與其他網站帳號的密碼、wp-config.php 裡的資料庫帳密、WordPress 的安全金鑰（salts）、金流、寄信與各種 API 金鑰、主機控制台與 FTP、SSH 登入，管理員帳號順便開啟兩步驟驗證。用備份還原的人，這一步也一樣要做。
- 確認真的清乾淨了。再跑一次資安掃描、核對核心與外掛檔案，接下來幾天留意網站有沒有對外連到陌生的網址、刪掉的檔案有沒有又出現。
Wordfence 也提醒：直接把外掛更新到 3.0.124，只會換掉 Rank Math 自己的檔案，惡意程式放到別處的檔案、帳號和排程不會跟著消失。只更新不清理，後門還是留在網站裡。
自己清不動的時候
手動清理要進資料庫、看主機的排程和 SSH 金鑰，對不熟主機操作的人並不容易，而且漏掉一處，後門就可能再長回來。網站有在收單或存會員資料的，建議直接找處理過網站中毒的資安服務或熟 WordPress 的工程師，把上面的步驟交給他們照做。網站放在共享虛擬主機的，也先問主機商能不能提供台灣時間 10 月 16 日凌晨以前的備份，能還原通常比手動清快得多。
這次事件之後，值得調整的習慣
這次最快脫身的，是手上剛好有事件前備份的人。備份不只要有，還要留得夠久：問題常常過了幾天才被發現，只留最近兩三天的備份，等你知道出事時，乾淨的版本可能已經被覆蓋掉了。
付費外掛的更新一樣要當回事。重要網站可以先在測試環境更新、觀察一兩天再更新正式站，或至少在更新前留一份備份；更新的做法可以參考不敢更新外掛？先備份、分批更新、壞了就退回。用不到的外掛直接刪除，少一個外掛，就少一條會出事的路。本月其他 WordPress 外掛與 PHP 的資安消息，整理在WordPress 10 月漏洞整理和PHP 10 月緊急資安更新。
不想自己顧備份與更新的話
自己管主機的人，這次要自己判斷、自己還原、自己清。如果你寧願把主機這端交給別人顧，可以考慮 WordPress 代管。RoamerHost 的 WordPress 一站一個獨立容器，兩個方案都含自動備份，由平台這端替整個網站留備份，不用自己設定；網站出嚴重問題、後台進不去時，聯繫客服協助還原。WordPress 的安全性更新（次要版本）會自動套用，外掛和佈景主題可以自由安裝，所以 Rank Math PRO 這類付費外掛照樣能用，外掛本身出事時，也一樣要照外掛官方的指示處理。
基本版年繳 NT$3,588（年繳平均每月 NT$299）。選 WP × Roamer AI 進階版（年繳 NT$11,988，年繳平均每月 NT$999），還可以直接請 Roamer AI 進站讀錯誤日誌、停用有問題的外掛或退回快照，風險較高的操作會先請你輸入確認碼。台灣團隊代管，繁體中文客服。方案細節在 WP × Roamer AI 方案頁；網站已經打不開的狀況，可以先看網站白畫面、後台進不去的救援流程。
常見問題
Q：我用的是免費版 Rank Math SEO，要做什麼嗎？
不用。官方公告寫明，從 WordPress.org 安裝的免費版不受這次事件影響。另外，Rank Math 在重置系統時，移除了 10 月 13 日到 16 日之間註冊的免費帳號，這段時間註冊過的人登入時如果找不到帳號，就是這個原因。
Q：直接更新到 3.0.124 就好了嗎？
不夠。3.0.124 只會換掉 Rank Math 自己的檔案，惡意程式已經放在其他地方的後門、管理員帳號和排程都還在。有安裝並啟用過受影響版本的網站，要照方法一還原備份，或照方法二的順序清理，帳密也要全部換掉。
Q：外掛版本是 3.0.123，就代表網站被駭了嗎？
不一定。官方說裝過 3.0.123 不代表網站一定被入侵，有問題的是 UTC 時間 10 月 15 日 20:02 到 10 月 16 日 07:12 之間下載或更新到的那批檔案，但從版本號看不出你拿到的是哪一份。查不出來就照「安裝並啟用過」處理，或確認有沒有收到 Rank Math 的通知信。
Q：已經還原備份了，還需要換密碼嗎？
需要。惡意程式可能已經把網站伺服器讀得到的帳密和金鑰送出去了，還原只能把網站內容退回去，外洩的帳密還是能用。官方的步驟裡，換掉所有帳密是還原之後一定要做的事。
資料來源
- Rank Math 官方：Rank Math PRO 3.0.123 資安事件處理說明、PRO 版更新紀錄
- Wordfence：Rank Math SEO PRO 漏洞資料
- Patchstack：Rank Math SEO PRO 3.0.123 惡意程式碼
- BleepingComputer：WordPress SEO plugin Rank Math compromised to backdoor websites
- The Hacker News：Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor
- SecurityWeek：Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack
- RoamerHost：WP × Roamer AI 方案與常見問題
WordPress
