WordPress-plugins misbrugt: Tjek Rank Math PRO og UpdraftPlus

To af de mest brugte WordPress-plugins har på under en uge været vejen ind for angribere. Den betalte SEO-udvidelse Rank Math PRO blev i version 3.0.123 udleveret med malware i en periode den 15. og 16. oktober. Og fra den 18. oktober blev fjernstyringsnøgler til backupværktøjet UpdraftPlus brugt til at installere bagdøre på WordPress-sider, der var koblet til tjenesten UpdraftCentral.

De to sager er ikke kendt for at hænge sammen. Der er forskellige firmaer, forskellige tidspunkter og forskellige angrebsmetoder, og ingen af dem har peget på en forbindelse. Vi gennemgår dem derfor hver for sig. Men for den lille danske virksomhed med en WordPress-side, som et webbureau satte op for et par år siden, er spørgsmålet det samme: Kører min side et af de to plugins, og skal jeg gøre noget?

Der er ikke offentliggjort tal for, hvor mange sider der er ramt, og ingen danske ofre er kendt. Men begge sager har det til fælles, at en opdatering ikke fjerner det, angriberen allerede har lagt på siden.

Først: Hvilket af de to har du?

Log ind i WordPress, og gå til Plugins. Se efter:

• Rank Math SEO PRO (den betalte udgave). Står der Rank Math SEO uden "PRO", er det den gratis udgave fra WordPress.org, og den er ikke ramt af malwaren.
• UpdraftPlus (gratis eller Premium). Det afgørende er her, om siden har været forbundet til UpdraftCentral eller til en konto på teamupdraft.com.

Har du ingen af dem, kan du stoppe her. Har du en WordPress-side, men ved ikke, hvordan du kommer ind i den, så send linket til denne artikel til den, der driver siden for dig.

Del 1: Rank Math PRO 3.0.123

Hvad skete der?

Ifølge Rank Maths egen sikkerhedsmeddelelse indeholdt filerne i Rank Math PRO 3.0.123 "malware that could compromise your website if the plugin was activated". Det gjaldt den version, der blev hentet eller installeret mellem 15. oktober 2026 kl. 20:02 UTC og 16. oktober kl. 07:12 UTC. I dansk tid er det fra kl. 22:02 om aftenen til kl. 09:12 næste morgen. Rank Math fjernede filerne og udsendte den rene version 3.0.124.

Rank Math skriver, at sagen "affects Rank Math PRO users only". Den gratis udgave fra WordPress.org er ikke ramt af malwaren. Til gengæld blev gratis brugerkonti på rankmath.com, der var oprettet mellem 13. og 16. oktober, slettet ved en nulstilling af systemet. Har du oprettet en konto i de dage, skal den oprettes igen og forbindes på ny under Rank Math SEO → Dashboard → Help. Dine SEO-indstillinger og dit indhold på siden er ifølge Rank Math ikke berørt.

Ifølge SecurityWeek kan malwaren genskabe en skjult bagdør ved hvert sidebesøg, lægge falske WordPress-kernefiler og ændre i andre plugins og temaer. Det samme mønster så vi med WordPress-bagdøren, der genskaber sig selv otte steder.

Hvor alvorligt er det for dig?

Rank Math deler brugerne i tre grupper:

Står din side i dag på 3.0.124, er du altså ikke automatisk i sikkerhed. Har den kørt 3.0.123 i aktiveret tilstand, ligger det, malwaren har efterladt, der stadig.

Tegn på, at siden er ramt

Rank Math nævner blandt andet disse spor. De fleste kræver adgang til databasen eller filerne, så det er typisk en opgave for dit webbureau eller dit webhotel:

• Poster i tabellen wp_options med navnene _uf6qdn2hmm, t8krdk990phb eller _np5pvf754c
• Udgående forbindelser til domænet rank1cdn.com
• En falsk kernefil: wp-includes/class-wp-cache-util.php
• Ukendte administratorer med brugernavne, der starter med wpsupport_, eller e-mailadresser, der ender på @wp-mail[.]net
• Regler i .htaccess, der får .cache-filer til at køre som PHP
• PHP-filer i mappen uploads/, hvor der normalt kun ligger billeder og dokumenter

De ukendte administratorer kan du selv se efter under Brugere i WordPress. Sorter efter rollen Administrator, og gå listen igennem.

Sådan rydder du op

Rank Maths foretrukne løsning er at gendanne siden fra en backup taget før 15. oktober kl. 20:02 UTC (22:02 dansk tid), både filer og database. Derefter skal du scanne siden og installere 3.0.124.

Uanset om du gendanner eller rydder op i hånden, kalder Rank Math det "essential, even if you restore" at skifte alle adgangsoplysninger. Det gælder adgangskoder til WordPress, databasens adgangskode i wp-config.php, WordPress' sikkerhedsnøgler og "salts", API-nøgler til betalingsløsninger og mailserver samt adgang til webhotellets kontrolpanel, FTP og SSH.

Vælger du at rydde op i hånden, så bemærk Rank Maths advarsel: "Deactivating the plugin alone is not sufficient." Hele mappen rank-math-pro skal slettes, og databaseposterne skal fjernes, før man går videre, fordi malwaren ellers bygger bagdøren op igen.

Hent kun 3.0.124 ved selv at gå til rankmath.com og logge ind. Rank Math skriver, at firmaet "will never send login or download links by email". En mail med et "sikkerhedslink" til en ny version er derfor et tegn på svindel.

Del 2: UpdraftPlus og UpdraftCentral

Hvad skete der?

UpdraftPlus er et af de mest udbredte backupplugins til WordPress. Til det hører UpdraftCentral, en tjeneste, hvor man kan styre flere WordPress-sider fra ét kontrolpanel: opdatere, tage backup og installere plugins.

Firmaet bag, TeamUpdraft, skriver i sin hændelsesrapport (senest opdateret 20. oktober kl. 16:25 britisk tid), at der var uautoriseret adgang til teamupdraft.com i weekenden 17.–18. oktober, og at firmaet mener, at kundedatabasen blev tilgået. Det kan omfatte navne, e-mailadresser, faktureringsadresser, ordrehistorik, adgangskoder (gemt som hash), indstillinger for totrinsbekræftelse og forbindelsesnøgler til UpdraftCentral, UpdraftVault og UpdraftClone. Kortoplysninger gemmer TeamUpdraft ikke. Betalinger går gennem Stripe og PayPal.

Ifølge TeamUpdraft er selve UpdraftPlus-pluginet og downloads ikke ramt, og det samme gælder selvhostet UpdraftCentral og backups, der ligger på din egen lagerplads som Google Drive eller Dropbox.

Det, der gør sagen alvorlig, er nøglerne. Sikkerhedsfirmaet Patchstack så den første bagdør blive installeret via UpdraftCentral den 18. oktober kl. 15:32. Kommandoerne var signeret med ægte nøgler, så alle pluginets kontroller blev bestået. Patchstack talte 99 forskellige navne på bagdørsplugins. Patchstack understreger, at der er tale om stjålne nøgler og ikke et hul i koden.

Du kan have en nøgle uden at vide det

Patchstack peger på en detalje, der rammer mange: Når man forbinder sin side til en konto på teamupdraft.com, er feltet "Add this website to UpdraftCentral" sat til som standard. Siden kan altså have fået en UpdraftCentral-nøgle, selv om ingen nogensinde har åbnet UpdraftCentral.

TeamUpdraft skriver, at gratis brugere uden en konto på teamupdraft.com ikke behøver at gøre noget ud over at holde pluginet opdateret. Patchstack anbefaler alligevel at tjekke, om der ligger en nøgle. Har din udvikler kommandolinjeværktøjet WP-CLI, er det én kommando:

wp option get updraft_central_localkeys

Kommer der noget svar, har siden en nøgle.

Tegn på en UpdraftCentral-bagdør

Ifølge Patchstack:

• Et plugin, du ikke kender, med beskrivelsen "Small maintenance toolkit: keeps option storage tidy." Den tekst gik igen i alle prøver.
• Pluginnavnet Site Health Cache, som dukkede op flere gange. De øvrige navne var tilfældige kombinationer af to eller tre ord.
• En bruger med et navn som data-ops43: to ord og to cifre, vist med rollen Redaktør, men med ekstra rettigheder, en e-mail på @example.org og visningsnavnet Site Tools.
• En databasepost, hvis navn ender på _sync_token.

Patchstack har en særlig advarsel. Nogle af bagdørene giver en fejlside, fordi koden går ned, før den når at gøre noget. Her er rådet klart: "Do not repair such a plugin – fixing the error switches the backdoor on." Ret det ikke. Få det fjernet. Patchstack fraråder også at slette det via WordPress' egen sletteknap, fordi pluginet så fjerner sine egne spor. Det er endnu en grund til at få en fagperson til det.

Sådan sikrer du siden

TeamUpdraft har udsendt UpdraftPlus 1.26.13 (gratis) og 2.26.13 (Premium), som tilbagekalder UpdraftCentral-nøglerne. Firmaets egen tjekliste nævner flere steder 1.26.12 og 2.26.12, men det er versionerne med .13, der er udsendt som rettelsen. Sådan lyder rækkefølgen ifølge TeamUpdraft:

1. Log ind direkte i sidens eget WordPress, ikke via UpdraftCentral.
2. Opdater UpdraftPlus til 1.26.13 eller 2.26.13.
3. Gå til Settings > UpdraftPlus > Advanced Tools > UpdraftCentral, og slet forbindelsesnøglen.
4. Gå til Brugere, og fjern administratorer, du ikke kender.
5. Gå til Plugins, også fanen Must-Use, hvis den vises, og fjern det, du ikke kender.
6. Skift adgangskoden for alle administratorer.
7. Ser noget mistænkeligt ud, så overvej at gendanne fra en backup taget før 17. oktober.

Bemærk, at en opdatering ikke rydder en side, der allerede har fået en bagdør. Den lukker kun nøglerne fremover.

TeamUpdraft beder brugerne forbinde siden til UpdraftCentral igen bagefter. Patchstack er mere forsigtig: Lad nøglerne være slettet, og forbind ikke igen, før firmaet har forklaret årsagen. Bruger du ikke UpdraftCentral til noget, er Patchstacks råd det enkleste.

To ting mere, der er lette at overse:

• Har du konto på teamupdraft.com, så skift adgangskoden ved at skrive adressen direkte i browseren, skift den samme adgangskode andre steder, og nulstil totrinsbekræftelsen under My Account. Pas på mails, der udgiver sig for at komme fra TeamUpdraft. Firmaet skriver, at det aldrig beder om adgangskoder eller nøgler.
• Bruger du UpdraftVault som lagerplads, er alle sider koblet fra. TeamUpdraft skriver, at "backups won't reach Vault until you reconnect". Din side tager altså ikke backup til Vault, før du forbinder igen under Settings > UpdraftPlus > Settings og kører en manuel backup for at se, at det virker.

Hvad betyder det for danske virksomheder?

Langt de fleste små danske virksomheder har ikke selv installeret plugins. Det har et webbureau eller en freelancer gjort. Ring eller skriv til dem i dag, og stil tre konkrete spørgsmål: Kører vi Rank Math PRO, og var 3.0.123 aktiveret? Har vores UpdraftPlus været koblet til UpdraftCentral eller teamupdraft.com? Og har vi en backup fra før 15. oktober?

Det sidste spørgsmål er det vigtigste. I begge sager er den sikreste vej en gendannelse fra før angrebet, og den er kun mulig, hvis der findes en backup, der ikke er overskrevet. Bruger I UpdraftVault, så tjek samtidig, at backupperne kører igen.

Har siden en webshop eller formularer med kundedata, og viser det sig, at den har været kompromitteret, er det også et spørgsmål om persondata. Efter GDPR skal et brud på persondatasikkerheden som udgangspunkt anmeldes til Datatilsynet inden for 72 timer, efter man er blevet opmærksom på det. Det er en vurdering, I bør tage med jeres rådgiver.

Og så er det en god anledning til at få styr på resten. Står siden ikke allerede på den nyeste WordPress-version, så læs om de syv huller, WordPress 7.1.3 lukker. Og har I ikke allerede gjort det, er tjeklisten fra Brevo-angrebet, der ramte 100.000 sider, også værd at gå igennem.

Konklusion

Begge sager viser det samme: Det er ikke nok at holde sine plugins opdateret, når angrebet kommer gennem leverandørens egne kanaler. Rank Math PRO-brugere fik malware via den officielle download, og UpdraftCentral-brugere fik bagdøre via ægte nøgler. Det samme mønster så vi, da AOMEI Backupper lagde en bagdør via sin egen opdateringsbesked.

Det, vi holder øje med, er, om TeamUpdraft forklarer, hvordan nøglerne blev stjålet, og om Rank Math oplyser, hvordan malwaren kom ind i deres pakke. Begge firmaer opdaterer løbende deres meddelelser. Sker der noget nyt, opdaterer vi artiklen.