Jika situs WordPress Anda memakai Rank Math PRO, ada satu tanggal yang perlu Anda periksa hari ini juga: 15–16 Oktober 2026. Selama kurang lebih 11 jam, salinan plugin SEO populer itu yang diunduh dan dikirim sebagai pembaruan dari rankmath.com ternyata membawa malware. Yang membuat kasus ini berbeda dari kebanyakan insiden plugin, malware tersebut tidak hanya mencuri data — ia bisa membangun ulang backdoor-nya sendiri setiap kali ada orang membuka situs.

Rank Math mengumumkan insiden ini lewat pemberitahuan resmi pada 16 Oktober 2026 dan langsung menarik file bermasalah, lalu merilis versi bersih 3.0.124. Wordfence menyusul dengan advisory pada 17 Oktober yang menegaskan satu hal penting: memasang versi baru hanya mengganti plugin, tidak menghapus file, akun administrator, atau scheduled task yang sudah ditanam malware di server.

Jendela waktu dan siapa yang berisiko

File terinfeksi ada pada Rank Math PRO versi 3.0.123 yang diunduh atau diterima sebagai pembaruan antara 20:02 UTC 15 Oktober dan 07:12 UTC 16 Oktober 2026 (dalam WIB: 16 Oktober pukul 03.02 sampai 14.12). Perhatikan bahwa nomor versi tidak bisa dipakai sebagai penanda — changelog 3.0.123 sendiri bertanggal 7 Oktober, jauh sebelum jendela insiden. Salinan 3.0.123 yang Anda unduh sebelum 15 Oktober 20:02 UTC aman dari insiden ini.

Pemberitahuan Rank Math membagi pengguna menjadi tiga kelompok:

• Sudah memasang dan mengaktifkan 3.0.123 di dalam jendela waktu: anggap situs sudah dikompromikan, meskipun sekarang sudah diperbarui ke 3.0.124. Ikuti langkah pemulihan.
• Sudah memasang tetapi tidak pernah mengaktifkan: hapus file plugin, pasang 3.0.124 dari akun Rank Math, lalu jalankan pemindaian keamanan.
• Hanya mengunduh, tidak memasang atau mengaktifkan: tidak ada indikasi situs Anda terdampak dari insiden ini saja.

Insiden ini hanya menyangkut versi PRO, yang diunduh pelanggan dari rankmath.com — bukan versi gratis di WordPress.org yang dipakai lebih dari 4 juta situs. Namun bagi instansi, desa, sekolah, dan UMKM yang memakai Rank Math PRO, satu hal wajib dipahami: pembersihan yang salah urutan bisa sia-sia.

Mengapa urutan pembersihan menentukan

Malware ini menanam mekanisme yang memicu pembuatan ulang backdoor saat situs dikunjungi. Artinya, menghapus file mencurigakan lebih dulu — sebelum mekanisme pembangunnya dimatikan — biasanya hanya membuang waktu, karena file itu akan muncul kembali. Rank Math menyarankan, jika tersedia, restore dari backup yang dibuat sebelum 15 Oktober 2026 pukul 20:02 UTC. Itu opsi terbersih.

Jika backup bersih tidak ada, lakukan langkah manual berikut secara berurutan. Sebaiknya pekerjaan ini dilakukan pengelola server atau penyedia hosting, bukan dicoba-coba dari panel WordPress saja.

Langkah 1: Hentikan malware sebelum ia membangun ulang dirinya

1. Hapus seluruh folder plugin wp-content/plugins/rank-math-pro lewat file manager atau FTP. Sekadar menonaktifkan plugin tidak cukup.
2. Hapus entri database jahat. Buka phpMyAdmin, masuk ke tabel wp_options, cari dan hapus baris dengan option_name bernilai _uf6qdn2hmm, t8krdk990phb, atau _np5pvf754c. Awalan tabel bisa berbeda jika instalasi Anda memakai prefix lain.
3. Blokir domain rank1cdn.com untuk koneksi keluar, jika firewall atau hosting Anda mendukung.

Baru setelah ketiga langkah ini selesai, lanjut ke pemeriksaan berikutnya.

Langkah 2: Sisir jejak lain yang ditinggalkan

• File backdoor PHP di wp-content/mu-plugins/, folder plugin lain, folder inc/, includes/, dan lib/ pada theme non-default, serta folder includes/ Rank Math. Indikator yang disebut Rank Math: base64_decode yang digabung loop XOR, string xmmqhn, proc_open, atau kode socket PHP-FPM.
• Akun administrator asing. Cek daftar admin; waspadai username berawalan wpsupport_ diikuti karakter acak, atau email berakhiran @wp-mail.net. Lewat WP-CLI: wp user list --role=administrator.
• File inti WordPress palsu wp-includes/class-wp-cache-util.php. File ini bukan bagian WordPress resmi. Hapus, lalu jalankan wp core verify-checksums.
• .htaccess di root dan subfolder: cari aturan yang membuat file .cache dieksekusi sebagai PHP, lalu telusuri file .cache berisi kode PHP.
• Cron dan scheduled task. Periksa crontab user web server untuk entri bertanda #ms6v46, dan tinjau wp cron event list.
• Di luar WordPress: file authorized_keys SSH, crontab user lain, proses yang berjalan, serta folder di luar direktori situs yang bisa ditulisi user web server.

Langkah 3: Ganti semua kredensial

Rank Math menegaskan langkah ini wajib, termasuk bila Anda memilih restore dari backup. Anggap seluruh rahasia yang bisa dijangkau situs sudah bocor: password akun WordPress, kredensial database di wp-config.php, security keys dan salts WordPress, API key payment gateway, kredensial SMTP, akses panel hosting/FTP/SSH, serta pengaturan two-factor authentication untuk akun administrator.

Langkah 4: Verifikasi, baru pasang ulang

Setelah bersih, jalankan pemindaian dengan Wordfence atau Sucuri, lalu wp core verify-checksums dan wp plugin verify-checksums --all. Perlu dicatat, checksum untuk plugin premium sering tidak tersedia — The Hacker News bahkan menemukan layanan checksum WordPress.org belum menyediakan entri untuk Rank Math PRO per 19 Oktober. Karena itu, unduh 3.0.124 langsung dari rankmath.com setelah login ke akun Anda, bukan lewat tautan di email. Rank Math menegaskan tidak pernah mengirim tautan login atau unduhan via email.

Pantau koneksi keluar dan kemunculan kembali file yang sudah dihapus selama beberapa hari ke depan. Jika file yang sama muncul lagi, pembersihan belum tuntas.

Pelajaran untuk pengelola TI instansi dan UMKM

Kasus ini bukan soal Rank Math saja, melainkan pola yang berulang: rantai pasok pembaruan perangkat lunak menjadi jalur masuk. Tiga kebiasaan yang murah dan terbukti mengurangi risiko:

• Backup harian yang tersimpan di luar server, dengan retensi minimal 14 hari. Tanpa backup, opsi pemulihan terbersih hilang.
• Uji pembaruan plugin premium di staging sebelum produksi, dan simpan salinan installer resmi yang sudah terbukti bersih.
• 2FA untuk semua akun administrator plus pemantauan koneksi keluar. Backdoor hampir selalu butuh "menelepon keluar" untuk menerima perintah.

Jika situs Anda dikelola oleh tim kami atau Anda menemukan indikator di atas pada server instansi, jangan menunda: hentikan dulu mekanisme pembangunnya, baru bersihkan sisanya. Urutan yang benar jauh lebih menentukan daripada banyaknya file yang dihapus.

Sumber: Rank Math — Rank Math PRO 3.0.123 Security Incident; The Hacker News — Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor.