WordPress : Rank Math PRO piégé et clés UpdraftCentral volées, vérifier et nettoyer

Mi-octobre 2026, les propriétaires de sites WordPress ont reçu trois mauvaises nouvelles en une semaine. Le 16 octobre, Rank Math annonçait que sa version PRO 3.0.123, distribuée par ses propres serveurs, contenait une porte dérobée. Le 18, des clés de connexion UpdraftCentral, volées chez l'éditeur d'UpdraftPlus, servaient à installer des extensions malveillantes sur les sites connectés. Le 21, PHP publiait en urgence le correctif de PHP2Shell, suivi deux jours plus tard d'une nouvelle faille, encore sans correctif.

Le point commun des deux premières : les sites touchés n'ont rien fait de mal. Ils étaient à jour, ou se sont mis à jour, et c'est précisément ce qui les a compromis. Cet article explique qui est concerné, comment le vérifier et pourquoi une simple mise à jour ne nettoie pas un site déjà infecté.

Rank Math PRO 3.0.123 : une mise à jour piégée à la source

Rank Math est l'une des extensions de référencement les plus utilisées de WordPress. Selon l'éditeur, les copies de Rank Math PRO 3.0.123 téléchargées sur rankmath.com ou installées par mise à jour entre le 15 octobre à 22 h 02 et le 16 octobre à 9 h 12 (heure de Paris), soit une fenêtre d'environ onze heures, contenaient un code malveillant. L'incident est enregistré sous CVE-2026-111862, noté 9,8 sur 10 par Wordfence. La version 3.0.124, publiée le 16 octobre, est saine.

La version gratuite, installée depuis WordPress.org, n'est pas concernée.

D'après le bulletin de Rank Math et les analyses publiées depuis, le code malveillant :

• recrée une porte dérobée cachée à chaque visite, ce qui donne à l'attaquant un accès permanent ;
• crée des comptes administrateur dont l'identifiant commence par wpsupport_, avec une adresse en @wp-mail.net ;
• ajoute un faux fichier du cœur, wp-includes/class-wp-cache-util.php, des règles .htaccess qui font exécuter des fichiers .cache comme du PHP, des tâches cron marquées #ms6v46 et des tâches WP-Cron ;
• écrit dans la table des options des entrées nommées _uf6qdn2hmm, _t8krdk990phb ou _np5pvf754c ;
• contacte le domaine rank1cdn.com, enregistré la veille de l'attaque.

Le point le plus important du bulletin : installer la 3.0.124 ne supprime rien de ce que le code malveillant a déjà créé. Les comptes, les fichiers et les tâches planifiées restent en place.

UpdraftCentral : des clés volées qui ouvrent les sites

UpdraftCentral est la console qui permet de gérer plusieurs sites WordPress depuis un seul tableau de bord, à partir d'UpdraftPlus, l'extension de sauvegarde très répandue. Chaque site connecté accepte les commandes signées avec sa clé de connexion.

Vers les 17 et 18 octobre, un attaquant a accédé aux données clients de l'éditeur, TeamUpdraft. Les clés UpdraftCentral qu'il y a trouvées lui ont permis d'envoyer des commandes valides aux sites connectés : Patchstack a recensé au moins 99 extensions malveillantes différentes, déguisées en outils de maintenance ou d'optimisation (« Site Health Cache », par exemple), installées entre le 18 et le 19 octobre. Ces clés n'expirent pas : des clés émises en novembre 2025 fonctionnaient encore. Les versions corrigées d'UpdraftPlus sont la 1.26.13 (gratuite) et la 2.26.13 (Premium). Selon les premières analyses, une console UpdraftCentral auto-hébergée n'est pas concernée.

Ici aussi, la mise à jour ferme la porte mais ne retire pas l'extension malveillante déjà installée.

Vérifier son site

Avec WP-CLI, sur le serveur, à la racine du site (préfixe de table wp_ à adapter au vôtre) :

# Versions de Rank Math et d'UpdraftPlus
wp plugin list --fields=name,version,status | grep -iE 'rank|updraft'

# Administrateurs : chercher wpsupport_, @wp-mail.net, ou une création récente
wp user list --role=administrator --fields=user_login,user_email,user_registered

# Entrées laissées par Rank Math PRO 3.0.123
wp db query "SELECT option_name FROM wp_options WHERE option_name IN ('_uf6qdn2hmm','_t8krdk990phb','_np5pvf754c')"

# Fichiers du cœur modifiés ou ajoutés
wp core verify-checksums

# Extensions apparues depuis le 15 octobre
find wp-content/plugins wp-content/mu-plugins -maxdepth 1 -newermt 2026-10-15 -ls

# Tâches planifiées
crontab -l | grep ms6v46
wp cron event list

wp core verify-checksums signale un fichier ajouté dans wp-includes, comme class-wp-cache-util.php. Pour les extensions de WordPress.org, wp plugin verify-checksums --all compare les fichiers à ceux du dépôt officiel ; les extensions payantes comme Rank Math PRO n'en bénéficient pas. Regardez aussi les journaux du serveur : une connexion sortante vers rank1cdn.com ou une extension inconnue apparue entre le 18 et le 19 octobre sont des signes clairs.

Nettoyer : restaurer plutôt que réparer

Les consignes de Rank Math sont précises, et leur logique vaut pour les deux incidents :

• Extension piégée installée et activée pendant la fenêtre : le site est compromis. La solution recommandée est de restaurer fichiers et base de données depuis une sauvegarde antérieure au 15 octobre 2026 à 22 h 02 (heure de Paris), puis d'installer la 3.0.124.
• Installée mais jamais activée : supprimez complètement le dossier rank-math-pro (la désactiver ne suffit pas), installez la 3.0.124 depuis votre compte Rank Math et lancez une analyse de sécurité.
• Téléchargée mais ni installée ni activée : selon l'éditeur, cela n'indique pas de compromission.
• Site connecté à UpdraftCentral : mettez UpdraftPlus à jour, supprimez les clés UpdraftCentral dans les réglages de chaque site, puis vérifiez la liste des extensions et des administrateurs. Patchstack, notamment, conseille d'attendre que la cause de la fuite soit établie avant de reconnecter les sites.

Dans tous les cas où le site a été compromis, changez ensuite tous les secrets qu'il connaissait : mots de passe des administrateurs, identifiants de la base de données, clés et sels de wp-config.php, clés d'API (paiement, envoi d'e-mails, services tiers), accès FTP, SFTP et SSH. Une porte dérobée qui a tourné plusieurs jours a pu tout lire.

Restaurer est plus sûr que réparer : un code qui se recrée à chaque visite laisse en général plusieurs copies de lui-même, et l'on n'est jamais certain d'avoir trouvé la dernière. Sans sauvegarde antérieure à l'infection, une remise en état complète s'impose.

Et PHP : PHP2Shell exploitée, une nouvelle faille sans correctif

Pendant ce temps, PHP2Shell (CVE-2026-109618 et CVE-2026-109619) est passée du risque à l'attaque : Amazon a observé des tentatives d'exploitation quatre jours avant la publication du correctif, et l'agence américaine CISA a confirmé son exploitation. Si vos sites ne tournent pas encore sous PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, c'est la priorité, avant tout le reste de cet article. La marche à suivre est détaillée dans l'article sur PHP2Shell.

Le 23 octobre, l'équipe PHP a publié un avis sur une nouvelle faille, CVE-2026-115560, qui permet elle aussi l'exécution de code à distance. Elle ne touche qu'une combinaison peu courante :

• la progression d'envoi de session est activée (session.upload_progress.enabled, active par défaut) ;
• la configuration règle session.serialize_handler sur php_binary ou php_serialize ;
• et l'application le remet à php avec ini_set() avant d'appeler session_start().

Les versions du 21 octobre ne la corrigent pas ; le correctif viendra avec la prochaine version de maintenance, et aucune exploitation n'est signalée à ce jour. En attendant, l'équipe PHP recommande session.upload_progress.enabled = 0. Si vous l'avez déjà appliqué contre PHP2Shell, laissez-le en place : vous êtes couvert. Le cœur de WordPress n'utilise pas les sessions PHP, mais certaines extensions le font, et seule la lecture de leur code dirait si elles changent le format de sérialisation. Désactiver la progression d'envoi est plus simple.

Ce que ces incidents disent de la maintenance d'un site WordPress

• Une mise à jour est un acte de confiance envers l'éditeur. Elle reste indispensable : PHP2Shell rappelle ce que coûte un retard. Mais une extension payante se met à jour depuis les serveurs de son éditeur, et ces serveurs peuvent être compromis. Savoir quand chaque extension a été mise à jour permet de répondre en une minute à la question « étais-je dans la fenêtre ? ».
• Chaque accès à distance est une clé à gérer. Une console multi-sites est pratique, mais ses clés ouvrent tous les sites à la fois et, ici, n'expiraient jamais. Faites l'inventaire des services connectés à vos sites (sauvegarde, gestion, sécurité, référencement) et retirez ceux qui ne servent plus.
• Moins d'extensions, moins d'éditeurs à qui faire confiance. Chaque extension installée est un éditeur qui peut pousser du code sur votre serveur. Une extension inutilisée, même désactivée, reste un risque : supprimez-la.
• La sauvegarde est le vrai plan de secours. Une sauvegarde complète, régulière, conservée hors du site et dont on a déjà testé la restauration transforme une compromission en une matinée de travail. Une sauvegarde pilotée par l'extension même qui a été compromise ne suffit pas.
• Surveiller. Une alerte sur la création d'un compte administrateur ou sur l'apparition d'une extension aurait signalé ces deux attaques en quelques minutes. C'est le rôle d'une supervision, même légère.

Ce que j'en retiens

• Rank Math PRO 3.0.123, distribué entre le 15 octobre à 22 h 02 et le 16 octobre à 9 h 12 (heure de Paris), contenait une porte dérobée ; la version gratuite n'est pas concernée.
• Des clés UpdraftCentral volées ont servi à installer au moins 99 extensions malveillantes différentes : il faut mettre UpdraftPlus à jour et supprimer les clés sur chaque site.
• Dans les deux cas, la mise à jour ne nettoie pas : un site compromis se restaure depuis une sauvegarde antérieure, puis on change tous les secrets.
• PHP2Shell est exploitée : la mise à jour de PHP passe avant tout le reste.
• CVE-2026-115560 n'a pas encore de correctif ; session.upload_progress.enabled = 0 protège en attendant.

Votre site WordPress utilise Rank Math PRO ou UpdraftCentral et vous n'êtes pas sûr qu'il soit sain ? Je peux l'auditer, le restaurer proprement si besoin, mettre PHP à jour et installer la sauvegarde et la surveillance qui évitent la prochaine urgence. Décrivez-moi votre site, je vous réponds rapidement.

Sources : bulletin de sécurité de Rank Math du 16 octobre 2026 et base de vulnérabilités de Patchstack ; analyse de Patchstack sur la compromission des clés UpdraftCentral ; avis de l'équipe PHP du 23 octobre 2026 sur CVE-2026-115560 (php.net) ; BleepingComputer, IT-Connect. Article à jour au 29 octobre 2026 ; les recommandations de votre hébergeur et des éditeurs priment.