Rank Math PRO 3.0.123 ถูกฝังมัลแวร์ผ่านห่วงโซ่อุปทาน เว็บ WordPress ที่เปิดใช้ต้องกู้คืน
Rank Math PRO 3.0.123 บางชุดที่ดาวน์โหลดช่วง 15–16 ต.ค. 2026 ถูกฝังมัลแวร์สร้าง backdoor Wordfence ให้ CVSS 9.8 เว็บที่เปิดใช้ต้องกู้คืนและเปลี่ยนรหัสผ่าน
โดย กองบรรณาธิการ THAI DATA อ่าน 5 นาที
สรุปประเด็นสำคัญ
- Rank Math ยืนยันว่าไฟล์ Rank Math PRO 3.0.123 ที่ดาวน์โหลดหรืออัปเดตระหว่าง 15 ต.ค. 2026 เวลา 20:02 UTC ถึง 16 ต.ค. 07:12 UTC มีมัลแวร์ และออกรุ่นสะอาด 3.0.124 แทน ส่วนรุ่นฟรีบน WordPress.org ไม่ได้รับผลกระทบ
- Wordfence ออก CVE-2026-111862 ให้คะแนน CVSS 3.1 9.8 (Critical) ระบุว่ามัลแวร์อาจฝังช่องทางเข้าถาวร ติดต่อโดเมน rank1cdn[.]com สร้าง backdoor กลับมาเมื่อมีคนเปิดเว็บ และเปิดเผยรหัสผ่านกับ API key
- เว็บที่ติดตั้งและเปิดใช้ Rank Math PRO 3.0.123 ในช่วงนั้นต้องถือว่าถูกเจาะ Rank Math แนะนำให้กู้คืนจาก backup ก่อน 15 ต.ค. 20:02 UTC เปลี่ยนรหัสผ่านและคีย์ทั้งหมด แล้วจึงติดตั้ง 3.0.124
- การอัปเดตจาก Rank Math PRO 3.0.123 เป็น 3.0.124 อย่างเดียวไม่ลบไฟล์ บัญชีแอดมิน และ cron ที่มัลแวร์สร้างไว้ Rank Math เผยแพร่ตัวบ่งชี้ เช่น ค่าใน wp_options 3 รายการ และบัญชีที่ขึ้นต้นด้วย wpsupport_
- ThaiCERT ออกประกาศเตือนเรื่องนี้เมื่อ 20 ตุลาคม 2026 และ Rank Math อัปเดตหน้าประกาศล่าสุดเมื่อ 19 ตุลาคม
Rank Math ผู้พัฒนาปลั๊กอิน SEO สำหรับ WordPress ยืนยันว่าไฟล์ Rank Math PRO 3.0.123 ที่ผู้ใช้ดาวน์โหลดหรืออัปเดตระหว่าง 15 ตุลาคม 2026 เวลา 20:02 UTC ถึง 16 ตุลาคม 07:12 UTC (ตรงกับ 03:02–14:12 น. วันที่ 16 ต.ค. ตามเวลาไทย) ถูกฝังมัลแวร์ที่ยึดเว็บได้เมื่อเปิดใช้ปลั๊กอิน บริษัทถอนไฟล์ออกและออกรุ่นสะอาด 3.0.124 แล้ว
Wordfence ออก CVE-2026-111862 ให้กรณีนี้เมื่อ 19 ตุลาคม ด้วยคะแนน CVSS 3.1 9.8 (Critical) และ ThaiCERT ออกประกาศเตือนผู้ดูแลเว็บไทยในวันถัดมา Rank Math ระบุว่าเหตุนี้กระทบเฉพาะรุ่น PRO ที่เสียเงิน ส่วนรุ่นฟรีที่ดาวน์โหลดจาก WordPress.org ไม่ได้รับผลกระทบ
เกิดอะไรขึ้นกับ Rank Math PRO 3.0.123
บันทึกรุ่น (changelog) ของ Rank Math แสดงว่ารุ่น 3.0.123 ออกตามปกติเมื่อ 7 ตุลาคม 2026 แต่ไฟล์รุ่นเดียวกันที่จ่ายให้ผู้ใช้ในช่วงประมาณ 11 ชั่วโมงระหว่าง 15–16 ตุลาคมถูกแก้ไขจนมีมัลแวร์ Wordfence จึงเรียกเหตุนี้ว่าการโจมตีห่วงโซ่อุปทาน (supply-chain compromise) ใน "ส่วนหนึ่ง" ของแพ็กเกจรุ่น 3.0.123 วันที่ 16 ตุลาคม Rank Math ออกรุ่น 3.0.124 พร้อมบันทึกว่า "ทำความสะอาดแพ็กเกจ PRO รุ่น 3.0.123" และแจ้งลูกค้าที่ได้รับผลกระทบทุกรายพร้อมขั้นตอนที่ต้องทำ
ประกาศของ Rank Math ไม่ได้อธิบายว่าผู้โจมตีเข้าถึงไฟล์ดาวน์โหลดได้อย่างไร และระบุเพียงว่ากระทบผู้ใช้จำนวนจำกัด บริษัทยังรีเฟรชระบบบน rankmath.com จนบัญชีฟรีที่สมัครระหว่าง 13–16 ตุลาคม 2026 ถูกลบ ผู้ใช้กลุ่มนี้ต้องสมัครใหม่ด้วยอีเมลเดิมแล้วเชื่อมต่อเว็บอีกครั้ง Rank Math ย้ำว่าจะไม่ส่งลิงก์ล็อกอินหรือดาวน์โหลดทางอีเมล อีเมลแบบนี้จึงควรถือว่าน่าสงสัย
มัลแวร์ใน Rank Math PRO 3.0.123 ทำอะไรได้
ตามสรุปของ Wordfence ซึ่งอ้างประกาศของ Rank Math มัลแวร์อาจฝังช่องทางเข้าถึงเว็บแบบถาวร ติดต่อกับโดเมน rank1cdn[.]com สร้าง backdoor ที่ซ่อนอยู่ขึ้นมาใหม่ทุกครั้งที่มีคนเปิดเว็บ และเปิดเผยรหัสผ่าน WordPress รหัสฐานข้อมูล API key และข้อมูลลับอื่นที่เว็บเซิร์ฟเวอร์อ่านได้ ผู้โจมตีอาจทิ้งไฟล์ บัญชีผู้ดูแล งานตั้งเวลา หรือการเปลี่ยนแปลงระดับเซิร์ฟเวอร์ไว้ด้วย Wordfence ระบุผู้ค้นพบว่า "ไม่ทราบ" (Unknown)
Rank Math แบ่งผู้ใช้ Rank Math PRO 3.0.123 เป็น 3 กรณี
| สถานะของเว็บ | สิ่งที่ Rank Math แนะนำ |
|---|---|
| ติดตั้งและเปิดใช้ 3.0.123 ในช่วงที่มีมัลแวร์ | ถือว่าเว็บถูกเจาะ กู้คืนหรือทำความสะอาดเต็มรูปแบบ |
| ติดตั้ง 3.0.123 แต่ไม่เคยเปิดใช้ | ลบไฟล์ปลั๊กอิน ติดตั้ง 3.0.124 จากบัญชี Rank Math แล้วสแกนความปลอดภัย |
| ดาวน์โหลดแต่ไม่ได้ติดตั้ง | ไม่มีสัญญาณว่าเว็บถูกเจาะจากเหตุนี้ ถ้าไม่แน่ใจให้ติดต่อฝ่ายซัพพอร์ต |
วิธีกู้คืนเว็บที่เปิดใช้ Rank Math PRO 3.0.123
ทางที่ Rank Math แนะนำคือกู้คืนเว็บและฐานข้อมูลจาก backup ที่สร้างก่อน 15 ตุลาคม 2026 เวลา 20:02 UTC สแกนด้วยเครื่องมืออย่าง Wordfence หรือ Sucuri เปลี่ยนรหัสผ่านทั้งหมด แล้วจึงติดตั้ง 3.0.124 ที่ดาวน์โหลดจากบัญชีบน rankmath.com โดยตรง
ถ้าไม่มี backup ต้องทำความสะอาดเองและต้องทำตามลำดับ เพราะมัลแวร์สร้าง backdoor กลับมาเมื่อมีคนเปิดเว็บ ขั้นแรกให้หยุดกลไกนี้ก่อน
- ลบโฟลเดอร์
rank-math-proทั้งโฟลเดอร์ผ่าน file manager หรือ FTP การปิดใช้งานปลั๊กอินอย่างเดียวไม่พอ - ลบแถวในตาราง
wp_optionsที่ option_name เป็น_uf6qdn2hmm,t8krdk990phbหรือ_np5pvf754c - บล็อกการเชื่อมต่อขาออกไปยัง rank1cdn.com ถ้าโฮสติ้งหรือไฟร์วอลล์ทำได้
จากนั้นจึงไล่หาร่องรอยอื่น แล้วเปลี่ยนรหัสผ่าน รหัสฐานข้อมูลใน wp-config.php, security keys และ salts ของ WordPress, คีย์ระบบชำระเงิน, SMTP, API key, รหัสแผงควบคุมโฮสติ้ง FTP/SFTP และ SSH รวมทั้งตรวจการยืนยันตัวตนสองชั้นของผู้ดูแล Rank Math ย้ำว่าต้องเปลี่ยนแม้จะกู้คืนจาก backup แล้วก็ตาม
ตัวบ่งชี้การโจมตีของ Rank Math PRO 3.0.123
- ไฟล์: PHP แปลกปลอมใน
wp-content/mu-plugins/โฟลเดอร์ของปลั๊กอินอื่น โฟลเดอร์inc/,includes/,lib/ของธีมที่ไม่ใช่ค่าเริ่มต้น และincludes/ของ Rank Math โค้ดที่มี base64_decode คู่กับลูป XOR คีย์xmmqhn, proc_open หรือโค้ดเชื่อมต่อ socket ของ PHP-FPM - ไฟล์ core ปลอม:
wp-includes/class-wp-cache-util.phpซึ่ง Rank Math ระบุว่าไม่ใช่ไฟล์ของ WordPress - บัญชีผู้ดูแล: ชื่อผู้ใช้ขึ้นต้นด้วย
wpsupport_หรืออีเมลที่ลงท้ายด้วย@wp-mail[.]net - .htaccess และไฟล์ .cache: กฎที่ทำให้ไฟล์ .cache รันเป็น PHP ได้ และไฟล์ .cache ที่มีโค้ด PHP
- งานตั้งเวลา: crontab ของผู้ใช้เว็บเซิร์ฟเวอร์ที่มีเครื่องหมาย
#ms6v46และไฟล์ PHP ในโฟลเดอร์ uploads
Rank Math ให้คำสั่ง WP-CLI สำหรับตรวจ เช่น wp user list --role=administrator, wp cron event list, wp core verify-checksums และ wp plugin verify-checksums --all แต่เตือนว่าปลั๊กอินเสียเงินหลายตัวไม่มี checksum ให้เทียบ ต้องเทียบกับไฟล์สะอาดจากผู้พัฒนาแทน ถ้าไฟล์ที่ลบไปกลับมาอีก แปลว่าทำความสะอาดยังไม่ครบ
ทำไมเรื่องนี้สำคัญ
กรณี Rank Math PRO 3.0.123 แสดงว่าปลั๊กอินที่ผู้ใช้ไว้ใจและอัปเดตตามปกติกลายเป็นช่องทางเข้าเว็บเองได้ เว็บที่ตั้งอัปเดตอัตโนมัติและบังเอิญอัปเดตในช่วง 11 ชั่วโมงนั้นอาจได้รับไฟล์ที่มีมัลแวร์โดยผู้ดูแลไม่ได้ทำอะไรผิด Wordfence ย้ำว่าการอัปเดตปลั๊กอินเพียงอย่างเดียวไม่พอ เพราะมัลแวร์อาจวางไฟล์ บัญชีผู้ดูแล หรือ cron ไว้ที่อื่นแล้ว เหตุนี้ต่างจากช่องโหว่ทั่วไปตรงที่ปัญหาไม่ใช่บั๊กในโค้ด แต่เป็นไฟล์ที่ได้จากช่องทางดาวน์โหลดและอัปเดตของผู้พัฒนาเองแล้วมีมัลแวร์ติดมา
ThaiCERT ออกประกาศ 571/69 วันที่ 20 ตุลาคม 2026 สรุปเหตุการณ์และแนะนำให้ผู้ที่เปิดใช้ปลั๊กอินในช่วงเกิดเหตุกู้คืนจากไฟล์สำรอง เปลี่ยนรหัสผ่านและคีย์ทั้งหมด และบล็อกโดเมนอันตราย
สิ่งที่องค์กรไทยควรทำ
- ตรวจทุกเว็บ WordPress ขององค์กรและลูกค้า ว่าใช้ Rank Math PRO หรือไม่ และดูประวัติว่าได้ไฟล์ Rank Math PRO 3.0.123 มาในช่วง 15–16 ตุลาคมหรือเปล่า โดยเฉพาะเว็บที่เปิดอัปเดตอัตโนมัติ ถ้าได้รับอีเมลแจ้งจาก Rank Math ให้ทำตามแม้เว็บจะเปลี่ยนรุ่นไปแล้ว
- เว็บที่เปิดใช้ไฟล์ที่มีมัลแวร์ให้กู้คืนจาก backup ก่อน 15 ต.ค. 20:02 UTC (16 ต.ค. 03:02 น. เวลาไทย) และเปลี่ยนรหัสผ่านกับคีย์ทุกชุดที่เว็บเข้าถึงได้ รวมคีย์ระบบชำระเงินและอีเมล
- ไล่ตัวบ่งชี้ในหัวข้อด้านบน และให้ผู้ให้บริการโฮสติ้งช่วยตรวจส่วนที่อยู่นอก WordPress เช่น SSH authorized_keys, crontab และโปรเซสที่รันอยู่
- ทบทวนการอัปเดตปลั๊กอินเสียเงิน เก็บ backup รายวันไว้อย่างน้อยหลายวันย้อนหลัง และเปิดการแจ้งเตือนเมื่อมีบัญชีผู้ดูแลใหม่ อ่านกรณีบัญชีแอดมินลับจากช่องโหว่ Ninja Forms ประกอบ
- อย่าลืมแพตช์ PHP ของเซิร์ฟเวอร์ ซึ่งเป็นอีกเรื่องที่เว็บ WordPress ต้องทำสัปดาห์นี้ ตามคู่มือแพตช์ PHP2Shell ติดตามข่าวช่องโหว่อื่น ๆ ได้ที่หมวด Security
คำถามที่พบบ่อย
Rank Math PRO 3.0.123 ทุกเว็บติดมัลแวร์หรือไม่?
ไม่ทุกเว็บ Rank Math ระบุว่าเฉพาะไฟล์ Rank Math PRO 3.0.123 ที่ดาวน์โหลดหรืออัปเดตระหว่าง 15 ตุลาคม 2026 เวลา 20:02 UTC ถึง 16 ตุลาคม 07:12 UTC เท่านั้นที่มีมัลแวร์ Wordfence ย้ำว่าการมีรุ่น 3.0.123 อย่างเดียวไม่ได้พิสูจน์ว่าเว็บถูกเจาะ ต้องดูว่าได้ไฟล์มาเมื่อไรและเปิดใช้หรือไม่
ใช้ Rank Math SEO รุ่นฟรี ได้รับผลกระทบจาก Rank Math PRO 3.0.123 ไหม?
Rank Math ระบุว่ารุ่นฟรีจาก WordPress.org ไม่ได้รับผลกระทบจากเหตุ Rank Math PRO 3.0.123 และไม่ต้องทำอะไร แต่บัญชีฟรีบน rankmath.com ที่สมัครระหว่าง 13–16 ตุลาคม 2026 ถูกลบระหว่างการรีเฟรชระบบ ต้องสมัครใหม่และเชื่อมต่อเว็บอีกครั้งเพื่อใช้ฟีเจอร์ที่ผูกกับบัญชี
ถ้าเว็บเปิดใช้ Rank Math PRO 3.0.123 ที่มีมัลแวร์ ต้องทำอย่างไร?
Rank Math ให้ถือว่าเว็บที่เปิดใช้ Rank Math PRO 3.0.123 ที่มีมัลแวร์ถูกเจาะแล้ว ทางที่แนะนำคือกู้คืนเว็บและฐานข้อมูลจาก backup ที่สร้างก่อน 15 ตุลาคม 2026 เวลา 20:02 UTC สแกนด้วยเครื่องมือความปลอดภัย เปลี่ยนรหัสผ่าน รหัสฐานข้อมูล salts และ API key ทั้งหมด แล้วติดตั้ง 3.0.124 จากบัญชีบน rankmath.com
อัปเดตจาก Rank Math PRO 3.0.123 เป็น 3.0.124 แล้วปลอดภัยหรือยัง?
ยังไม่พอถ้าเคยเปิดใช้ Rank Math PRO 3.0.123 ที่มีมัลแวร์ Wordfence ระบุว่าการอัปเดตแทนที่เฉพาะไฟล์ปลั๊กอิน แต่ไม่ลบไฟล์ บัญชีผู้ดูแล และงานตั้งเวลาที่มัลแวร์อาจสร้างไว้ที่อื่น ต้องทำตามขั้นตอนทำความสะอาดของ Rank Math และเปลี่ยนรหัสผ่านทั้งหมดด้วย
แหล่งอ้างอิง
- Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website — Rank Math
- PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads — Wordfence
- Rank Math Changelog — Rank Math
- CVE-2026-111862 — CVE Program (CNA: Wordfence)
- พบมัลแวร์ในปลั๊กอิน Rank Math PRO บน WordPress เสี่ยงทำเว็บไซต์ถูกฝัง Backdoor — ThaiCERT
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- องค์กรและบริษัท
- Wordfence2ThaiCERT9
- ผลิตภัณฑ์และเทคโนโลยี
- WordPress7PHP12
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ