何が起きたか
SEO のプラグイン「Rank Math SEO」の有料版 PRO 3.0.123 に、開発元から配布される段階で不正なプログラムが混入していました（CVE-2026-111862、CVSS 9.8）。対象は 2026 年 10 月 15 日〜16 日（日本時間 16 日早朝〜夕方）に入手したものです。
有効にすると、消しても自分を作り直す隠れたプログラム、不正な管理者アカウント、設定ファイル（.htaccess）の書き換えなどが仕込まれます。WordPress.org の無料版は対象外です。
対象と修正版
- 対象: PRO 3.0.123（上記の期間に入手したもの）
- 修正版: 3.0.124
確認すること
- 3.0.123 を有効にしたサイトは、侵入されたものとして事件前のバックアップから戻す
- パスワードと鍵をすべて入れ替えたうえで 3.0.124 を入れる
- 無効にするだけでは不十分。フォルダごと削除する
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。