Cảnh báo: Plugin Rank Math PRO bị chèn mã độc backdoor tự tái tạo

• Sự cố bảo mật: Một số phiên bản Rank Math PRO 3.0.123 bị chèn mã độc backdoor trong khoảng thời gian từ 15/10/2026 đến 16/10/2026.
• Cơ chế nguy hiểm: Mã độc có khả năng tự tái tạo (self-rebuilding), khiến việc xóa file thủ công không thể loại bỏ hoàn toàn mối đe dọa.
• Khuyến nghị khẩn cấp: Quản trị viên cần khôi phục website từ bản sao lưu sạch trước thời điểm xảy ra sự cố và thay đổi toàn bộ thông tin xác thực.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về một chiến dịch tấn công chuỗi cung ứng nhắm vào plugin Rank Math PRO dành cho WordPress. Kẻ tấn công đã thành công trong việc chèn mã độc vào các gói cài đặt của phiên bản 3.0.123, cho phép tạo ra các backdoor ẩn danh có khả năng tự phục hồi ngay cả khi quản trị viên đã cố gắng xóa bỏ chúng. Sự cố này ảnh hưởng trực tiếp đến các website đã tải xuống và kích hoạt plugin trong khoảng thời gian từ 20:02 UTC ngày 15/10/2026 đến 07:12 UTC ngày 16/10/2026.

Phân tích cơ chế backdoor tự tái tạo

Điểm nguy hiểm nhất của mã độc này nằm ở khả năng duy trì sự hiện diện dai dẳng. Theo các chuyên gia, việc chỉ xóa các file PHP nghi vấn hoặc vô hiệu hóa plugin là không đủ để làm sạch hệ thống. Mã độc được thiết kế để tự động tái tạo lại các thành phần bị xóa mỗi khi có người dùng truy cập vào website bị nhiễm.

Các chỉ số IOCs và dấu hiệu nhận biết

Để hỗ trợ quá trình điều tra và săn tìm mối đe dọa (Threat Hunting), các nhà nghiên cứu đã liệt kê các chỉ số quan trọng cần kiểm tra trên hệ thống:

Ngoài ra, quản trị viên cần đặc biệt chú ý đến các kỹ thuật né tránh như sử dụng base64_decode kết hợp với các vòng lặp XOR, khóa giải mã xmmqhn, hoặc các lệnh gọi proc_open và mã PHP-FPM socket. Các file này thường ẩn náu tại wp-content/mu-plugins/, các thư mục plugin khác, hoặc thư mục includes/ của chính Rank Math.

Quy trình xử lý sự cố và khôi phục hệ thống

Việc khôi phục website sau khi bị xâm nhập đòi hỏi sự cẩn trọng cao độ. Chỉ cập nhật lên phiên bản sạch 3.0.124 là không đủ để đảm bảo an toàn. Các chuyên gia khuyến nghị quy trình xử lý theo các bước sau:

• Khôi phục từ bản sao lưu: Ưu tiên khôi phục toàn bộ file và cơ sở dữ liệu từ bản backup sạch được thực hiện trước ngày 15/10/2026.
• Loại bỏ thủ công: Xóa hoàn toàn thư mục rank-math-pro, kiểm tra các file .htaccess để tìm các quy tắc cho phép thực thi file .cache dưới dạng PHP.
• Kiểm tra cron jobs: Rà soát các tác vụ hệ thống (cron entries) có gắn thẻ #ms6v46.
• Thay đổi thông tin xác thực: Sau khi khôi phục, bắt buộc phải thay đổi mật khẩu quản trị, mật khẩu cơ sở dữ liệu, các khóa bảo mật (salts), API keys, và thông tin SMTP.

⚠️ Cảnh báo quan trọng: Mọi thông tin xác thực trên website bị nhiễm phải được coi là đã bị lộ. Việc không thay đổi các khóa API hoặc mật khẩu quản trị có thể tạo điều kiện cho kẻ tấn công quay trở lại ngay cả khi mã độc đã được loại bỏ.

Săn tìm mối đe dọa (Threat Hunting)

Để phát hiện các hành vi xâm nhập trái phép, quản trị viên nên thực hiện kiểm tra định kỳ các tài khoản quản trị viên lạ với tiền tố wpsupport_. Việc sử dụng các công cụ quét bảo mật như Wordfence hoặc Sucuri là cần thiết, kết hợp với lệnh kiểm tra tính toàn vẹn của mã nguồn WordPress:

wp core verify-checksums

Đối với các môi trường hosting chia sẻ, nếu không thể truy cập vào các thư mục hệ thống, người dùng cần liên hệ trực tiếp với nhà cung cấp dịch vụ để yêu cầu kiểm tra các vị trí ghi được (writable locations) ngoài thư mục web chính và các file authorized_keys của SSH. Mọi kết nối đi ra từ máy chủ cần được giám sát chặt chẽ trong những ngày tiếp theo để phát hiện các nỗ lực kết nối lại với máy chủ C2 của kẻ tấn công.

Tham khảo thêm thông tin chi tiết về các chiến dịch tấn công tương tự tại MITRE ATT&CK để hiểu rõ hơn về các kỹ thuật mà kẻ tấn công thường sử dụng trong các cuộc tấn công chuỗi cung ứng phần mềm.