WordPressのSEO対策プラグイン「Rank Math SEO PRO」で、正規の更新ファイルにマルウェアが混入するセキュリティ事故が発生しました。
2026年10月16日、開発元は一部のユーザーに不正なプログラムを含むバージョン3.0.123が配布されていたことを公表しました。
今回の問題は、通常のプラグインの脆弱性とは異なり、正規の配布経路を通じて不正なファイルが届けられた「サプライチェーン攻撃」です。
Rank Math SEOとは？
Rank Math SEOは、WordPressの検索エンジン最適化を支援するプラグインです。
タイトルやメタディスクリプションの設定、XMLサイトマップ、構造化データ、検索順位の分析、内部リンクの最適化などに利用されています。
無料版はWordPress.orgで400万以上の有効インストール数があります（2026年10月23日確認）。
今回問題が確認されたのは有料版のRank Math SEO PROです。WordPress.orgで配布されている無料版は、今回のマルウェア混入の影響を受けていません。
有料版の正確な利用規模は公表されていません。WordPress.org
どのような被害が発生するのか
不正なファイルが有効化された場合、WordPressサイト内にバックドアが設置される可能性があります。
バックドアとは、第三者がサイトへ不正にアクセスするための隠された侵入口です。
今回のマルウェアには、サイトが閲覧されるたびに削除されたバックドアを再作成する仕組みが確認されています。
また、管理者アカウントの不正作成、WordPress本体やテーマファイルの改変、データベース情報やAPIキーの漏えいなどにつながる可能性があります。
開発元は、影響するファイルを有効化したサイトについて、侵害されたものとして復旧作業を行うよう案内しています。
実際に何件のサイトが侵害されたのかは公表されていません。Wordfence
影響を受けているか確認する方法
まず、WordPress管理画面のプラグイン一覧で、Rank Math SEO PROの導入状況を確認してください。
次に、2026年10月16日5:02〜16:12（日本時間）に、バージョン3.0.123のインストールや更新が行われていないか調べます。
影響するファイルが有効化されていた場合、次のような痕跡が残っている可能性があります。
- 見覚えのない管理者アカウント
wp-includes/class-wp-cache-util.phpという不正なファイルwp-content/mu-plugins/内の不審なPHPファイルwp_optionsテーブル内の不審な設定- 不正な外部サーバーへの通信
- 不審なcronジョブや
.htaccessの変更
これらの痕跡が見つからなくても、安全であると断定はできません。
感染した場合の対応
最も推奨されるのは、問題のファイルが配布される前の正常なバックアップから復元する方法です。
復元には、WordPressのファイルだけでなくデータベースも含める必要があります。
その後、サイトの安全性を確認し、パスワードやAPIキーなどの認証情報を変更してください。
正常なバックアップがない場合は、手動による感染調査と除去が必要です。
開発元は、バックドアを再生成する仕組みを停止してから、残された不正ファイルやアカウントを調査するよう案内しています。
不正なプラグインを停止するだけでは十分ではありません。
また、感染したサイトでは認証情報が漏えいした可能性も考慮する必要があります。WordPressの管理者パスワードだけでなく、データベース、FTP・SFTP、サーバー管理画面、外部サービスのAPIキーなども確認してください。
復旧後は、正常なRank Math SEO PRO 3.0.124以降を開発元から取得して導入します。Rank Math
今回の事件は、正規のプラグイン更新でもマルウェアが配布される可能性があることを示しています。
通常のWordPress運用では、プラグインを最新版に保つことが重要ですが、今回のようなサプライチェーン攻撃では、更新だけで安全な状態に戻せるとは限りません。
Rank Math SEO PROを利用している場合は、対象期間中の更新履歴を確認し、該当する場合は開発元の案内に従って対応してください。