WordPressのSEO対策プラグイン「Rank Math SEO PRO」で、配布された一部のファイルに悪意あるプログラムが含まれていたことが判明しました。
2026年10月16日、開発元のRank Mathが問題を公表し、修正版3.0.124を公開しました。10月17日にはPatchstackもCVSS 9.8の重大な問題として掲載しています。
Rank Math
+1
Rank Mathとは？
Rank Mathは、WordPressサイトのSEO対策を支援するプラグインです。
検索結果に表示するタイトルや説明文の設定、XMLサイトマップ、構造化データ、リダイレクト管理、404エラー監視、検索パフォーマンス分析などの機能を備えています。
企業サイト、ブログ、ネットショップなどで、複数のSEO対策を一元管理できることがメリットです。
WordPress.org公式によると、無料版の有効インストール数は400万以上（2026年10月17日確認）。ただし、今回問題となった有料版PROの導入数は確認できず、400万以上という数字を今回の影響サイト数として扱うことはできません。
WordPress.org
今回はどのような問題が発生したのか？
今回は、プラグインの通常機能に存在する脆弱性ではなく、配布されたプログラムの一部にマルウェアが混入した問題です。
これは「サプライチェーン攻撃」と呼ばれる種類のセキュリティ問題に該当します。
混入したマルウェアには、外部サーバーとの通信、隠された不正アクセス経路の設置、管理者アカウントの不正作成、認証情報の窃取などにつながる危険性があります。
特に注意したいのは、不正なファイルを削除しても、別の場所に残った仕組みから再作成される可能性があることです。
ただし、すべてのRank Math利用サイトが影響を受けたわけではありません。今回の開発元の発表では、特定時間帯に配布されたPRO版3.0.123の一部が対象とされています。
Rank Math
影響を受ける条件
2026年10月16日05:02〜16:12（日本時間）に、Rank Math SEO PRO 3.0.123をダウンロードまたは更新したサイトが対象です。
該当ファイルを有効化していた場合は、サイトが侵害された可能性を前提に調査する必要があります。
ダウンロードしただけで設置していない場合や、問題のあるファイルを有効化していない場合では、対応方法が異なります。
サイト管理者が確認・対応すべきこと
- 導入履歴の確認： Rank Math SEO PROのバージョンと、10月16日の更新・ダウンロード時刻を確認する。
- 対象ファイルを有効化していた場合： サイトの侵害を前提に、サーバー内の不審なファイル、管理者アカウント、データベース、定期実行処理などを調査する。
- 復旧： 開発元が推奨する、問題発生前の正常なファイル・データベースのバックアップからの復元を検討する。
- 認証情報の変更： WordPress、データベース、FTP・SFTP、APIキー、外部サービスの認証情報など、流出した可能性があるものを更新する。
- 安全な最新版の導入： 公式アカウントから3.0.124以降を入手し、復旧後に導入する。再スキャンと継続監視も行う。
バックアップがない場合は、開発元の詳細な除去手順に沿った調査が必要です。ファイルの一部だけを削除して安全になったと判断することは避けてください。
Rank Math
まとめ
今回の問題は、正規のプラグイン更新であっても、配布されたファイルの安全性が損なわれる場合があることを示しています。
対象となるのは限定された時間帯の一部ファイルですが、該当する場合の影響は非常に深刻です。
Rank Math SEO PROを利用しているサイト管理者は、更新日時と開発元からの案内を確認し、必要に応じて早急に調査・復旧を行ってください。
公式・一次情報
Rank Math開発元のセキュリティ告知 Rank Math公式変更履歴 Patchstack脆弱性情報 Wordfence脆弱性情報