10 月 15 日到 16 日的大约 11 个小时里，从官方渠道下载的 Rank Math SEO PRO3.0.123 带有恶意代码，数百名客户受影响。官方明确说：只升级到 3.0.124 不足以清理，恶意代码可能在站上留下了管理员账号、假文件和定时任务。
这次的问题出在「正版」两个字上。你没有用破解版，你从官网下载、正常授权、正常安装——依然中招。
时间线
10 月 15 日至 16 日，Rank Math SEO PRO 的 3.0.123 版本下载包含恶意代码，窗口约 11 小时。Rank Math 的安全公告确认「数百名客户」受影响，10 月 17 日对外披露。
3.0.124 修掉了这个问题。但官方特别强调：升级不等于清理干净。恶意代码在运行时可能已经完成了这些动作——创建管理员账号、写入伪装成正常文件的恶意文件、注册定时任务（保证即使主文件被删，后门还能重新长出来）。
为什么这类事件越来越难防
Rank Math 是 WordPress 生态里装机量最大的 SEO 插件之一。它的更新走的是官方服务器，签名和分发都由厂商负责。站长的防线——只从官方渠道下载、不用破解版——在这类事件里完全失效，因为污染发生在厂商那一端。
同一周还有另一件事：UpdraftCentral 的连接密钥被窃，攻击者用它批量给客户站装后门，18 小时内出现了 99 种后门插件。两件事的模式一致：不攻击你的站，攻击你信任的那一环。
安全厂商 Patchstack 的 2026 年报告给了一个更冷的数字：从漏洞披露到首次利用，中位时间是 5 小时。这意味着「等公告」这个策略本身已经太慢。
如果你在那 11 小时里装过 3.0.123
别只升级。按这个顺序做：
第一步，从这波投毒发生之前的干净备份恢复。这一步能省掉后面大量的排查。
第二步，把站点能接触到的所有凭证全换：WordPress 管理员密码、数据库密码、FTP/SSH、Rank Math 账号本身、以及站点上配置的任何第三方 API Key。
第三步，检查管理员列表。找创建时间可疑的账号，哪怕是名字看起来正常的。
第四步，查计划任务。WordPress 的 cron 列表、服务器上的 crontab 都要看。恶意定时任务是这类后门最喜欢用的驻留手段。
第五步，比对文件。用官方包或干净备份对比核心文件、主题文件、插件文件的哈希。伪装文件通常藏在 uploads 目录或插件目录的深层，名字像 class-*.php、inc-*.php这种。
如果你没装过
这次你不用处理，但要接受一个事实：这类事件不会是最后一次。
能做的准备有三件。定期做「可用的」备份——不是备份存在同一台服务器上，而是异地、且验证过能恢复。把插件更新节奏改成「看公告再更新」和「自动更新关键安全补丁」的混合策略。以及，别把所有鸡蛋放在一个插件里：SEO 插件、缓存插件、备份插件，尽量别让某一个承担全部关键职能。
一个容易忽略的细节
很多人看到「数百名客户受影响」，会觉得概率很低，跟自己无关。但投毒的窗口只有 11 小时，受影响人数少是因为发现得早，不是因为攻击不成功。如果那 11 小时换成 11 天，数字会完全不同。
这种事件的教训不在「这次我躲过了」，而在于：你赖以判断「安全」的依据——官方渠道、正版授权、大厂维护——它们本身也是攻击面。
本文根据公开报道整理，主要参考：WPWithin周报 Issue24引述 Rank Math安全公告（2026-10-24）。厂商与项目的后续动作可能继续变化，涉及版本号和漏洞编号请以官方公告为准。
