WordPress の SEO プラグイン「Rank Math」の有料版、Rank Math PRO 3.0.123 の一部にマルウェアが混入していたことが分かりました。開発元の Rank Math が 2026 年 10 月 16 日に告知しています。対象は、日本時間の 10 月 16 日 5:02 から 16:12 までの約 11 時間に、ダウンロードまたは更新で入手したファイルです。翌 17 日には Wordfence も、CVE-2026-111862 として本件の情報を公開しました。
対応が必要かどうかは、バージョン番号だけでなく、ファイルを入手した日時で決まります。対象のファイルを一度でも有効化していた場合、3.0.124 への更新だけでは復旧できません。 Rank Math はサイトを侵害済みとして扱い、問題が起きる前のバックアップから復元することを推奨しています。
この記事では、Rank Math の告知と Wordfence の公開情報をもとに、必要な対応と対象となるサイトを整理します。日時はすべて日本時間です。
取るべき対応
まず、Rank Math からの通知と、3.0.123 を入手した日時を確認してください。Rank Math は配布記録から対象のユーザーを特定しています。通知を受け取った場合は、現在のバージョンにかかわらず、次の対応を進めます。
一度でも有効化していた場合
- 10 月 16 日 5:02 より前の安全なバックアップから、サイトとデータベースを復元します。
- セキュリティースキャンを実行します。
- パスワードや API キーなど、漏えいした可能性のある認証情報をすべて変更します。
- Rank Math のアカウントから 3.0.124 をダウンロードし、インストールします。
復元できるバックアップがない場合は、公式告知の手動駆除手順に従って復旧してください。
インストールしたが、一度も有効化していない場合
- 対象のプラグインファイルを削除します。
- Rank Math のアカウントから 3.0.124 をダウンロードし、インストールします。
- 念のためセキュリティースキャンを実行します。
ダウンロードしただけでインストールしていない場合は、この件だけでサイトが侵害されたと判断する根拠はないと Rank Math は説明しています。
対象者
確認が必要なのは、有料版の Rank Math PRO 3.0.123 を、10 月 16 日 5:02 から 16:12 までにダウンロードまたは更新で入手したユーザーです。自動更新で入手した場合も含みます。
3.0.123 の公開日は 10 月 7 日ですが、問題の対象は上記の時間帯に配布されたファイルに限られます。たとえば、10 月 7 日に更新し、その後は対象のファイルを入手していないサイトは対象外です。一方、現在は 3.0.124 でも、対象のファイルを一度でも有効化していたサイトでは復旧が必要です。
無料版の Rank Math SEO は、Rank Math の告知と Wordfence の公開情報で対象として挙げられていません。
起こったこと
対象のファイルを有効化すると、含まれていたマルウェアが動作し、サイトが侵害されるおそれがあります。Wordfence は、rank1cdn[.]com との通信や、外部から継続して侵入するためのバックドアの設置などを挙げ、CVSS スコアを 9.8（Critical）としています。
Rank Math は、プラグイン以外の場所にも不審なファイルや管理者アカウント、定期実行タスクなどが残っている可能性を指摘しています。3.0.124 に更新しても、こうした変更までは取り除けないため、サイトとサーバー全体の確認が必要です。
マルウェアが混入した経緯は、10 月 17 日時点で、Rank Math の告知にも Wordfence の公開情報にも記載されていません。
