WordPressのSEOプラグイン「Rank Math PRO」に不正コード混入。無料版は影響なし、有料版の人が確認すること
WordPressのSEOプラグイン「Rank Math」の有料版3.0.123に、サイトを乗っ取る不正なプログラムが混入していました。対象は日本時間10月16日5時〜16時ごろに配られたもので、無料版は影響なし。自分のサイトが関係あるかの見分け方と、やることをまとめました。
WordPressのSEO対策でよく使われるプラグイン「Rank Math（ランクマス）」の有料版「Rank Math PRO」に、悪意のあるプログラムが仕込まれていたことがわかりました。開発元のRank Mathが、公式サイトで注意を呼びかけています。
怖いのは、怪しいサイトから入れたものではなく、公式から配られた更新ファイルそのものに混ざっていたことです。海外では大きく報じられていますが、日本ではほとんど話題になっていません。
この記事では、何が起きたのか、自分のサイトが関係あるかの見分け方、そして関係があった場合にやることをまとめます。
この記事のポイント
- 対象は有料版のバージョン3.0.123で、日本時間10月16日5時2分〜16時12分に配られたものだけ。無料版は影響なし
- その版を有効にしたサイトは、乗っ取られている前提で対応が必要。修正版3.0.124に更新するだけでは直らない
- いちばん確実なのは、10月16日5時より前のバックアップに戻すこと。そのうえで、パスワードなどをすべて変える
何が起きたの？
Rank Mathの公式発表によると、有料版のバージョン3.0.123のファイルに、悪意のあるプログラム（マルウェア）が含まれていました。このプラグインを有効にすると、攻撃者がサイトに自由に出入りできる「裏口（バックドア）」が作られるおそれがあります。
裏口ができると、攻撃者は次のようなことができるようになります。
- サイトのファイルを書きかえる、管理者のアカウントを勝手に作る
- サイトのデータベースのパスワードや、外部サービスのカギ（APIキー）などを盗む
- 消しても、ページが表示されるたびに裏口を作り直す
セキュリティ企業の評価では、深刻度は10点満点中9.8点（CVE-2026-111862）。ログインしていない外の人から悪用できる、とても危険なものです。
なお、どうやって配布ファイルに混ざったのか（侵入の経路）は、公式発表では明らかにされていません。
「サプライチェーン攻撃」とは
今回のように、ソフトそのものではなく、ソフトを作ったり配ったりする途中に入りこんで、正規の配布物に悪いものを混ぜる手口を「サプライチェーン攻撃」と呼びます。
ふだん「公式から入れたものなら安全」と考えている利用者ほど、気づきにくいのがやっかいな点です。
自分のサイトは関係ある？
まず、次の順番で確かめてください。
| 確認すること | 答え | 関係するか |
|---|---|---|
| 使っているのは無料版？ | 無料版だけ | 関係なし（公式も対応不要としている） |
| 有料版のバージョンは？ | 3.0.123 ではない | 基本的に関係なし。念のため3.0.124以降に |
| 3.0.123 を入れたのは？ | 日本時間10月16日5時2分〜16時12分 | 関係する可能性が高い |
| 3.0.123 を有効にした？ | 入れただけで有効にしていない | ファイルを消して3.0.124を入れ、念のため検査 |
注意したいのは、バージョンが3.0.123でも、問題の時間帯以外に入れたものは対象外とされている点です。逆に、自動更新が有効になっていた場合は、自分で操作していなくても、この時間帯に更新されている可能性があります。
乗っ取りのサイン
公式発表では、次のようなものが見つかったら要注意としています。
- 管理画面の「ユーザー」に、「wpsupport_」で始まる、見覚えのない管理者がいる
- 本来ないはずのファイル（例：wp-includes フォルダの中の class-wp-cache-util.php）がある
- サーバーの設定ファイル（.htaccess）に、見覚えのない書きかえがある
ただし、サインが見つからないからといって、安全とは言い切れません。3.0.123を問題の時間帯に有効にしていたなら、乗っ取られている前提で動くのが安全です。
関係があった場合にやること
公式が案内している手順を、わかりやすく整理しました。
1. いちばん確実なのは「バックアップに戻す」
日本時間10月16日5時2分より前に取ったバックアップがあれば、サイトのファイルとデータベースをまとめて、その時点に戻します。レンタルサーバーには、自動でバックアップを取ってくれるものも多いので、サーバーの管理画面を確認してみましょう。
2. バックアップがない場合
自分で取り除くことになりますが、作業はかなり専門的です。公式が「最優先」としているのは、次の2つです。
- 「rank-math-pro」のフォルダごと削除する（無効にするだけでは足りない）
- 裏口を作り直すためのデータを、データベースから削除する
このあと、見覚えのない管理者の削除、ほかのプラグインやテーマのファイルの確認などが続きます。自信がなければ、サーバー会社や、WordPressのセキュリティに詳しい専門の業者に相談するのが安心です。
3. パスワードやカギを、すべて変える
バックアップに戻した場合も、この手順は必ず必要です。盗まれた情報は、サイトを元に戻しても相手の手元に残るからです。
- WordPressの管理者のパスワード
- データベースのパスワード
- サーバー・FTPのパスワード
- メール送信や外部サービスにつないでいるAPIキー
4. 修正版を「公式サイトから直接」入れ直す
修正版の3.0.124は、Rank Mathの公式サイトに自分でアクセスして、ログインしてからダウンロードします。公式は、メールに書かれたリンクは使わないようにと案内しています。この騒ぎに便乗した、偽のお知らせメールに気をつけましょう。
無料版の人も、ひとつだけ確認を
無料版は今回のマルウェアとは関係ありません。ただし公式によると、システムの入れ替えのため、10月13日〜16日に作られた無料のアカウントが削除されています。該当する人にはメールで案内が届いており、アカウントを作り直して、WordPressの管理画面から「Rank Math SEO」→「Dashboard」→「Help」でつなぎ直す必要があります。
SEOの設定そのものは消えませんが、作り直すまでは、Search Consoleとの連携やAIの機能などが使えません。
ブログを運営する人が、ふだんからできること
今回の件は、気をつけていても防ぎにくい種類のものでした。だからこそ、被害にあったときに元に戻せる備えが大事になります。
- バックアップを、自動で、定期的に取る：何日か前の状態に戻せるよう、複数の世代を残しておく
- 使っていないプラグインは消す：入っているプラグインが少ないほど、狙われる入り口も減る
- 管理者のアカウントを、ときどき見直す：見覚えのない管理者がいないかを確認する
- 自動更新とどう付き合うか決めておく：弱点の修正がすぐ届く便利さがある一方、今回のように悪いものまで自動で届くこともある。大事なサイトなら、更新の数日後に内容を確認する習慣をつける
同じ時期には、WordPressを動かす「PHP」の深刻な脆弱性も見つかっています。こちらは「PHPの“致命的”な脆弱性、修正版が公開」でまとめています。
このブログの考え方
WordPressのプラグインは、だれでも手軽にサイトの機能を増やせる、とても便利な仕組みです。今回の件で「プラグインはこわい」と感じた人もいるかもしれませんが、使わないのが正解というわけではありません。
大事なのは、便利な道具に頼ることと、いざというときに元に戻せる備えのあいだのバランスです。バックアップさえあれば、今回のような事態でも、慌てずにやり直せます。
まとめ
- 有料版「Rank Math PRO」の3.0.123に、サイトを乗っ取るマルウェアが混入していた。無料版は影響なし
- 対象は、日本時間10月16日5時2分〜16時12分に配られたもの
- その版を有効にしたサイトは、乗っ取られている前提で、バックアップに戻す→パスワードなどをすべて変える→修正版3.0.124を公式サイトから入れ直す
- 公式から配られたものでも、100%安全とは限らない。バックアップと、プラグインの整理が最大の備え
参考資料
- Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website（Rank Math・英語）
- WordPress Rank Math SEO PRO Plugin 3.0.123 is vulnerable to a high priority Backdoor（Patchstack、2026年10月17日・英語）
※ 記事の内容は、2026年10月22日時点の情報をもとにしています。
