# Rank Math PRO 3.0.123 ถูกฝังมัลแวร์ผ่านห่วงโซ่อุปทาน เว็บ WordPress ที่เปิดใช้ต้องกู้คืน

> Rank Math PRO 3.0.123 บางชุดที่ดาวน์โหลดช่วง 15–16 ต.ค. 2026 ถูกฝังมัลแวร์สร้าง backdoor Wordfence ให้ CVSS 9.8 เว็บที่เปิดใช้ต้องกู้คืนและเปลี่ยนรหัสผ่าน

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-22T12:26:00.000Z · อัปเดต: 2026-10-22T12:26:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/rank-math-pro-3-0-123-malware-supply-chain/

## สรุปประเด็นสำคัญ

- Rank Math ยืนยันว่าไฟล์ **Rank Math PRO 3.0.123** ที่ดาวน์โหลดหรืออัปเดตระหว่าง **15 ต.ค. 2026 เวลา 20:02 UTC ถึง 16 ต.ค. 07:12 UTC** มีมัลแวร์ และออกรุ่นสะอาด **3.0.124** แทน ส่วนรุ่นฟรีบน WordPress.org ไม่ได้รับผลกระทบ
- Wordfence ออก **CVE-2026-111862** ให้คะแนน **CVSS 3.1 9.8 (Critical)** ระบุว่ามัลแวร์อาจฝังช่องทางเข้าถาวร ติดต่อโดเมน rank1cdn[.]com สร้าง backdoor กลับมาเมื่อมีคนเปิดเว็บ และเปิดเผยรหัสผ่านกับ API key
- เว็บที่**ติดตั้งและเปิดใช้** Rank Math PRO 3.0.123 ในช่วงนั้นต้องถือว่าถูกเจาะ Rank Math แนะนำให้กู้คืนจาก backup ก่อน **15 ต.ค. 20:02 UTC** เปลี่ยนรหัสผ่านและคีย์ทั้งหมด แล้วจึงติดตั้ง 3.0.124
- การอัปเดตจาก Rank Math PRO 3.0.123 เป็น 3.0.124 อย่างเดียว**ไม่ลบ**ไฟล์ บัญชีแอดมิน และ cron ที่มัลแวร์สร้างไว้ Rank Math เผยแพร่ตัวบ่งชี้ เช่น ค่าใน wp_options 3 รายการ และบัญชีที่ขึ้นต้นด้วย wpsupport_
- ThaiCERT ออกประกาศเตือนเรื่องนี้เมื่อ **20 ตุลาคม 2026** และ Rank Math อัปเดตหน้าประกาศล่าสุดเมื่อ **19 ตุลาคม**

Rank Math ผู้พัฒนาปลั๊กอิน SEO สำหรับ WordPress ยืนยันว่าไฟล์ Rank Math PRO 3.0.123 ที่ผู้ใช้ดาวน์โหลดหรืออัปเดตระหว่าง 15 ตุลาคม 2026 เวลา 20:02 UTC ถึง 16 ตุลาคม 07:12 UTC (ตรงกับ 03:02–14:12 น. วันที่ 16 ต.ค. ตามเวลาไทย) ถูกฝังมัลแวร์ที่ยึดเว็บได้เมื่อเปิดใช้ปลั๊กอิน บริษัทถอนไฟล์ออกและออกรุ่นสะอาด 3.0.124 แล้ว

Wordfence ออก CVE-2026-111862 ให้กรณีนี้เมื่อ 19 ตุลาคม ด้วยคะแนน CVSS 3.1 9.8 (Critical) และ ThaiCERT ออกประกาศเตือนผู้ดูแลเว็บไทยในวันถัดมา Rank Math ระบุว่าเหตุนี้กระทบเฉพาะรุ่น PRO ที่เสียเงิน ส่วนรุ่นฟรีที่ดาวน์โหลดจาก WordPress.org ไม่ได้รับผลกระทบ

## เกิดอะไรขึ้นกับ Rank Math PRO 3.0.123

บันทึกรุ่น (changelog) ของ Rank Math แสดงว่ารุ่น 3.0.123 ออกตามปกติเมื่อ 7 ตุลาคม 2026 แต่ไฟล์รุ่นเดียวกันที่จ่ายให้ผู้ใช้ในช่วงประมาณ 11 ชั่วโมงระหว่าง 15–16 ตุลาคมถูกแก้ไขจนมีมัลแวร์ Wordfence จึงเรียกเหตุนี้ว่าการโจมตีห่วงโซ่อุปทาน (supply-chain compromise) ใน "ส่วนหนึ่ง" ของแพ็กเกจรุ่น 3.0.123 วันที่ 16 ตุลาคม Rank Math ออกรุ่น 3.0.124 พร้อมบันทึกว่า "ทำความสะอาดแพ็กเกจ PRO รุ่น 3.0.123" และแจ้งลูกค้าที่ได้รับผลกระทบทุกรายพร้อมขั้นตอนที่ต้องทำ

![บันทึกรุ่นของ Rank Math: รุ่น 3.0.124 วันที่ 16 ตุลาคม 2026 ทำความสะอาดแพ็กเกจ PRO รุ่น 3.0.123 ที่ได้รับผลกระทบ และรุ่น 3.0.123 ออกเมื่อ 7 ตุลาคม 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/rank-math-pro-3-0-123-malware-supply-chain/rank-math-pro-changelog-3-0-124.webp?v=98607b3b) _(ภาพ: Rank Math (ภาพหน้าจอ))_

ประกาศของ Rank Math ไม่ได้อธิบายว่าผู้โจมตีเข้าถึงไฟล์ดาวน์โหลดได้อย่างไร และระบุเพียงว่ากระทบผู้ใช้จำนวนจำกัด บริษัทยังรีเฟรชระบบบน rankmath.com จนบัญชีฟรีที่สมัครระหว่าง 13–16 ตุลาคม 2026 ถูกลบ ผู้ใช้กลุ่มนี้ต้องสมัครใหม่ด้วยอีเมลเดิมแล้วเชื่อมต่อเว็บอีกครั้ง Rank Math ย้ำว่าจะไม่ส่งลิงก์ล็อกอินหรือดาวน์โหลดทางอีเมล อีเมลแบบนี้จึงควรถือว่าน่าสงสัย

## มัลแวร์ใน Rank Math PRO 3.0.123 ทำอะไรได้

ตามสรุปของ Wordfence ซึ่งอ้างประกาศของ Rank Math มัลแวร์อาจฝังช่องทางเข้าถึงเว็บแบบถาวร ติดต่อกับโดเมน rank1cdn[.]com สร้าง backdoor ที่ซ่อนอยู่ขึ้นมาใหม่ทุกครั้งที่มีคนเปิดเว็บ และเปิดเผยรหัสผ่าน WordPress รหัสฐานข้อมูล API key และข้อมูลลับอื่นที่เว็บเซิร์ฟเวอร์อ่านได้ ผู้โจมตีอาจทิ้งไฟล์ บัญชีผู้ดูแล งานตั้งเวลา หรือการเปลี่ยนแปลงระดับเซิร์ฟเวอร์ไว้ด้วย Wordfence ระบุผู้ค้นพบว่า "ไม่ทราบ" (Unknown)

![สรุปของ Wordfence Intelligence: Rank Math SEO PRO 3.0.123 Unauthenticated Embedded Malicious Code คะแนน CVSS 9.8 (Critical) CVE-2026-111862 รุ่นที่แก้แล้ว 3.0.124](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/rank-math-pro-3-0-123-malware-supply-chain/wordfence-rank-math-pro-cve-2026-111862.webp?v=a11b3080) _(ภาพ: Wordfence (ภาพหน้าจอ))_

Rank Math แบ่งผู้ใช้ Rank Math PRO 3.0.123 เป็น 3 กรณี

| สถานะของเว็บ | สิ่งที่ Rank Math แนะนำ |
| --- | --- |
| ติดตั้งและเปิดใช้ 3.0.123 ในช่วงที่มีมัลแวร์ | ถือว่าเว็บถูกเจาะ กู้คืนหรือทำความสะอาดเต็มรูปแบบ |
| ติดตั้ง 3.0.123 แต่ไม่เคยเปิดใช้ | ลบไฟล์ปลั๊กอิน ติดตั้ง 3.0.124 จากบัญชี Rank Math แล้วสแกนความปลอดภัย |
| ดาวน์โหลดแต่ไม่ได้ติดตั้ง | ไม่มีสัญญาณว่าเว็บถูกเจาะจากเหตุนี้ ถ้าไม่แน่ใจให้ติดต่อฝ่ายซัพพอร์ต |

## วิธีกู้คืนเว็บที่เปิดใช้ Rank Math PRO 3.0.123

ทางที่ Rank Math แนะนำคือกู้คืนเว็บและฐานข้อมูลจาก backup ที่สร้างก่อน 15 ตุลาคม 2026 เวลา 20:02 UTC สแกนด้วยเครื่องมืออย่าง Wordfence หรือ Sucuri เปลี่ยนรหัสผ่านทั้งหมด แล้วจึงติดตั้ง 3.0.124 ที่ดาวน์โหลดจากบัญชีบน rankmath.com โดยตรง

ถ้าไม่มี backup ต้องทำความสะอาดเองและ**ต้องทำตามลำดับ** เพราะมัลแวร์สร้าง backdoor กลับมาเมื่อมีคนเปิดเว็บ ขั้นแรกให้หยุดกลไกนี้ก่อน

1. ลบโฟลเดอร์ `rank-math-pro` ทั้งโฟลเดอร์ผ่าน file manager หรือ FTP การปิดใช้งานปลั๊กอินอย่างเดียวไม่พอ
2. ลบแถวในตาราง `wp_options` ที่ option_name เป็น `_uf6qdn2hmm`, `t8krdk990phb` หรือ `_np5pvf754c`
3. บล็อกการเชื่อมต่อขาออกไปยัง rank1cdn.com ถ้าโฮสติ้งหรือไฟร์วอลล์ทำได้

จากนั้นจึงไล่หาร่องรอยอื่น แล้วเปลี่ยนรหัสผ่าน รหัสฐานข้อมูลใน wp-config.php, security keys และ salts ของ WordPress, คีย์ระบบชำระเงิน, SMTP, API key, รหัสแผงควบคุมโฮสติ้ง FTP/SFTP และ SSH รวมทั้งตรวจการยืนยันตัวตนสองชั้นของผู้ดูแล Rank Math ย้ำว่าต้องเปลี่ยนแม้จะกู้คืนจาก backup แล้วก็ตาม

## ตัวบ่งชี้การโจมตีของ Rank Math PRO 3.0.123

- **ไฟล์:** PHP แปลกปลอมใน `wp-content/mu-plugins/` โฟลเดอร์ของปลั๊กอินอื่น โฟลเดอร์ `inc/`, `includes/`, `lib/` ของธีมที่ไม่ใช่ค่าเริ่มต้น และ `includes/` ของ Rank Math โค้ดที่มี base64_decode คู่กับลูป XOR คีย์ `xmmqhn`, proc_open หรือโค้ดเชื่อมต่อ socket ของ PHP-FPM
- **ไฟล์ core ปลอม:** `wp-includes/class-wp-cache-util.php` ซึ่ง Rank Math ระบุว่าไม่ใช่ไฟล์ของ WordPress
- **บัญชีผู้ดูแล:** ชื่อผู้ใช้ขึ้นต้นด้วย `wpsupport_` หรืออีเมลที่ลงท้ายด้วย `@wp-mail[.]net`
- **.htaccess และไฟล์ .cache:** กฎที่ทำให้ไฟล์ .cache รันเป็น PHP ได้ และไฟล์ .cache ที่มีโค้ด PHP
- **งานตั้งเวลา:** crontab ของผู้ใช้เว็บเซิร์ฟเวอร์ที่มีเครื่องหมาย `#ms6v46` และไฟล์ PHP ในโฟลเดอร์ uploads

Rank Math ให้คำสั่ง WP-CLI สำหรับตรวจ เช่น `wp user list --role=administrator`, `wp cron event list`, `wp core verify-checksums` และ `wp plugin verify-checksums --all` แต่เตือนว่าปลั๊กอินเสียเงินหลายตัวไม่มี checksum ให้เทียบ ต้องเทียบกับไฟล์สะอาดจากผู้พัฒนาแทน ถ้าไฟล์ที่ลบไปกลับมาอีก แปลว่าทำความสะอาดยังไม่ครบ

## ทำไมเรื่องนี้สำคัญ

กรณี Rank Math PRO 3.0.123 แสดงว่าปลั๊กอินที่ผู้ใช้ไว้ใจและอัปเดตตามปกติกลายเป็นช่องทางเข้าเว็บเองได้ เว็บที่ตั้งอัปเดตอัตโนมัติและบังเอิญอัปเดตในช่วง 11 ชั่วโมงนั้นอาจได้รับไฟล์ที่มีมัลแวร์โดยผู้ดูแลไม่ได้ทำอะไรผิด Wordfence ย้ำว่าการอัปเดตปลั๊กอินเพียงอย่างเดียวไม่พอ เพราะมัลแวร์อาจวางไฟล์ บัญชีผู้ดูแล หรือ cron ไว้ที่อื่นแล้ว เหตุนี้ต่างจากช่องโหว่ทั่วไปตรงที่ปัญหาไม่ใช่บั๊กในโค้ด แต่เป็นไฟล์ที่ได้จากช่องทางดาวน์โหลดและอัปเดตของผู้พัฒนาเองแล้วมีมัลแวร์ติดมา

ThaiCERT ออกประกาศ 571/69 วันที่ 20 ตุลาคม 2026 สรุปเหตุการณ์และแนะนำให้ผู้ที่เปิดใช้ปลั๊กอินในช่วงเกิดเหตุกู้คืนจากไฟล์สำรอง เปลี่ยนรหัสผ่านและคีย์ทั้งหมด และบล็อกโดเมนอันตราย

![ประกาศ ThaiCERT 571/69 วันที่ 20 ตุลาคม 2026 สรุปเหตุ Rank Math PRO 3.0.123 ถูกแทรกมัลแวร์ในลักษณะการโจมตีผ่านห่วงโซ่อุปทาน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/rank-math-pro-3-0-123-malware-supply-chain/thaicert-rank-math-pro-alert-571-69.webp?v=2faa7c98) _(ภาพ: ThaiCERT (ภาพหน้าจอ))_

## สิ่งที่องค์กรไทยควรทำ

- **ตรวจทุกเว็บ WordPress ขององค์กรและลูกค้า** ว่าใช้ Rank Math PRO หรือไม่ และดูประวัติว่าได้ไฟล์ Rank Math PRO 3.0.123 มาในช่วง 15–16 ตุลาคมหรือเปล่า โดยเฉพาะเว็บที่เปิดอัปเดตอัตโนมัติ ถ้าได้รับอีเมลแจ้งจาก Rank Math ให้ทำตามแม้เว็บจะเปลี่ยนรุ่นไปแล้ว
- **เว็บที่เปิดใช้ไฟล์ที่มีมัลแวร์ให้กู้คืนจาก backup** ก่อน 15 ต.ค. 20:02 UTC (16 ต.ค. 03:02 น. เวลาไทย) และเปลี่ยนรหัสผ่านกับคีย์ทุกชุดที่เว็บเข้าถึงได้ รวมคีย์ระบบชำระเงินและอีเมล
- **ไล่ตัวบ่งชี้ในหัวข้อด้านบน** และให้ผู้ให้บริการโฮสติ้งช่วยตรวจส่วนที่อยู่นอก WordPress เช่น SSH authorized_keys, crontab และโปรเซสที่รันอยู่
- **ทบทวนการอัปเดตปลั๊กอินเสียเงิน** เก็บ backup รายวันไว้อย่างน้อยหลายวันย้อนหลัง และเปิดการแจ้งเตือนเมื่อมีบัญชีผู้ดูแลใหม่ อ่านกรณี[บัญชีแอดมินลับจากช่องโหว่ Ninja Forms](/security/ninja-forms-wordpress-xss-exploited-hidden-admin/) ประกอบ
- **อย่าลืมแพตช์ PHP ของเซิร์ฟเวอร์** ซึ่งเป็นอีกเรื่องที่เว็บ WordPress ต้องทำสัปดาห์นี้ ตาม[คู่มือแพตช์ PHP2Shell](/security/php2shell-patch-guide-check-php-version/) ติดตามข่าวช่องโหว่อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### Rank Math PRO 3.0.123 ทุกเว็บติดมัลแวร์หรือไม่?

ไม่ทุกเว็บ Rank Math ระบุว่าเฉพาะไฟล์ Rank Math PRO 3.0.123 ที่ดาวน์โหลดหรืออัปเดตระหว่าง 15 ตุลาคม 2026 เวลา 20:02 UTC ถึง 16 ตุลาคม 07:12 UTC เท่านั้นที่มีมัลแวร์ Wordfence ย้ำว่าการมีรุ่น 3.0.123 อย่างเดียวไม่ได้พิสูจน์ว่าเว็บถูกเจาะ ต้องดูว่าได้ไฟล์มาเมื่อไรและเปิดใช้หรือไม่

### ใช้ Rank Math SEO รุ่นฟรี ได้รับผลกระทบจาก Rank Math PRO 3.0.123 ไหม?

Rank Math ระบุว่ารุ่นฟรีจาก WordPress.org ไม่ได้รับผลกระทบจากเหตุ Rank Math PRO 3.0.123 และไม่ต้องทำอะไร แต่บัญชีฟรีบน rankmath.com ที่สมัครระหว่าง 13–16 ตุลาคม 2026 ถูกลบระหว่างการรีเฟรชระบบ ต้องสมัครใหม่และเชื่อมต่อเว็บอีกครั้งเพื่อใช้ฟีเจอร์ที่ผูกกับบัญชี

### ถ้าเว็บเปิดใช้ Rank Math PRO 3.0.123 ที่มีมัลแวร์ ต้องทำอย่างไร?

Rank Math ให้ถือว่าเว็บที่เปิดใช้ Rank Math PRO 3.0.123 ที่มีมัลแวร์ถูกเจาะแล้ว ทางที่แนะนำคือกู้คืนเว็บและฐานข้อมูลจาก backup ที่สร้างก่อน 15 ตุลาคม 2026 เวลา 20:02 UTC สแกนด้วยเครื่องมือความปลอดภัย เปลี่ยนรหัสผ่าน รหัสฐานข้อมูล salts และ API key ทั้งหมด แล้วติดตั้ง 3.0.124 จากบัญชีบน rankmath.com

### อัปเดตจาก Rank Math PRO 3.0.123 เป็น 3.0.124 แล้วปลอดภัยหรือยัง?

ยังไม่พอถ้าเคยเปิดใช้ Rank Math PRO 3.0.123 ที่มีมัลแวร์ Wordfence ระบุว่าการอัปเดตแทนที่เฉพาะไฟล์ปลั๊กอิน แต่ไม่ลบไฟล์ บัญชีผู้ดูแล และงานตั้งเวลาที่มัลแวร์อาจสร้างไว้ที่อื่น ต้องทำตามขั้นตอนทำความสะอาดของ Rank Math และเปลี่ยนรหัสผ่านทั้งหมดด้วย


## แหล่งอ้างอิง

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/) — Rank Math
- [PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/) — Wordfence
- [Rank Math Changelog](https://rankmath.com/changelog/) — Rank Math
- [CVE-2026-111862](https://www.cve.org/CVERecord?id=CVE-2026-111862) — CVE Program (CNA: Wordfence)
- [พบมัลแวร์ในปลั๊กอิน Rank Math PRO บน WordPress เสี่ยงทำเว็บไซต์ถูกฝัง Backdoor](https://www.thaicert.or.th/2026/10/20/%e0%b8%9e%e0%b8%9a%e0%b8%a1%e0%b8%b1%e0%b8%a5%e0%b9%81%e0%b8%a7%e0%b8%a3%e0%b9%8c%e0%b9%83%e0%b8%99%e0%b8%9b%e0%b8%a5%e0%b8%b1%e0%b9%8a%e0%b8%81%e0%b8%ad%e0%b8%b4%e0%b8%99-rank-math-pro-%e0%b8%9a/) — ThaiCERT