ประกาศสำคัญ Rank Math PRO 3.0.123 มีมัลแวร์ฝังมา เช็กเว็บของคุณด่วน

Rank Math ปลั๊กอิน SEO ที่เว็บ WordPress ไทยใช้กันมาก ประกาศว่าไฟล์ Rank Math PRO (ตัวเสียเงิน) เวอร์ชัน 3.0.123 ที่ถูกดาวน์โหลดในช่วงเวลาหนึ่ง มีมัลแวร์ฝังมาด้วย เหตุการณ์นี้เป็นการโจมตีแบบ supply chain คือคนร้ายเจาะเข้าไปฝังโค้ดในไฟล์ปลั๊กอินก่อนถึงมือผู้ใช้ ไม่ได้เจาะเว็บแต่ละเว็บโดยตรง

ถ้าเว็บของคุณติดตั้งและเปิดใช้ไฟล์ชุดนั้น ให้ถือว่าเว็บถูกเจาะแล้ว และต้องกู้คืนตามขั้นตอนด้านล่าง การกดอัปเดตปลั๊กอินทับไม่ได้ช่วยลบมัลแวร์

สรุปสั้น ใครโดน ใครไม่โดน

ช่วงเวลาที่ไฟล์ปนเปื้อน

ไฟล์ที่มีปัญหาคือชุดที่ดาวน์โหลดหรืออัปเดตระหว่าง

• 20:02 น. วันที่ 15 ต.ค. 2026 ถึง 07:12 น. วันที่ 16 ต.ค. 2026 (เวลา UTC)
• เทียบเป็นเวลาไทย คือ 03:02 น. ถึง 14:12 น. ของวันที่ 16 ตุลาคม 2026

ข้อควรระวังคือ ดูจากเลขเวอร์ชันอย่างเดียวไม่พอ เพราะเวอร์ชัน 3.0.123 มีทั้งไฟล์ปกติและไฟล์ที่ถูกแทรก ต้องดูว่าอัปเดตเมื่อไร ด้วย ถ้าเปิดอัปเดตอัตโนมัติไว้ ให้สันนิษฐานไว้ก่อนว่าอาจโดน

ทำไมอัปเดตเป็น 3.0.124 แล้วยังไม่หาย

Rank Math ถอดไฟล์ที่มีปัญหาออกและปล่อย 3.0.124 ที่สะอาดแล้ว แต่มัลแวร์ตัวนี้ไม่ได้อยู่แค่ในโฟลเดอร์ปลั๊กอิน ทันทีที่ถูกเปิดใช้งาน มันกระจายตัวเองออกไปฝังในจุดอื่นของเว็บ การอัปเดตปลั๊กอินเลยแทนที่แค่ไฟล์ของปลั๊กอิน ส่วนที่ฝังไว้ข้างนอกยังอยู่ครบ

จากข้อมูลของ Rank Math และนักวิจัยความปลอดภัย มัลแวร์ตัวนี้ทำสิ่งต่อไปนี้

• สร้างบัญชีผู้ดูแลระบบ (Administrator) ปลอม ที่เจ้าของเว็บไม่รู้จัก
• ฝังไฟล์ PHP อันตราย ในระบบ WordPress รวมถึงไฟล์ที่ปลอมตัวเป็นไฟล์ระบบของ WordPress
• แก้ไฟล์ .htaccess ให้ไฟล์นามสกุล .cache ถูกรันเป็นโค้ด PHP ได้
• สร้าง Backdoor ใหม่ทุกครั้งที่มีคนเข้าเว็บ ลบไปบางส่วนแล้ว มันก็สร้างกลับมาได้
• สร้าง Scheduled Tasks / Cron Jobs ให้โค้ดอันตรายทำงานต่อเนื่อง
• แก้ไฟล์ของปลั๊กอินและธีมอื่น และอาจแก้ไฟล์นอกโฟลเดอร์ WordPress ด้วย
• เปิดทางให้ รหัสผ่าน ข้อมูลเชื่อมต่อฐานข้อมูล และ API Keys รั่วออกไป
• ติดต่อกับเซิร์ฟเวอร์ของคนร้ายที่โดเมน rank1cdn[.]com

Wordfence ประเมินความรุนแรงไว้ที่ CVSS 9.8 (Critical)

วิธีเช็กว่าเว็บโดนหรือไม่

ทำตามลำดับนี้ ถ้าเจอข้อใดข้อหนึ่ง ให้ถือว่าเว็บโดนแล้ว

1. ดูประวัติการอัปเดต ถ้าใช้ Rank Math PRO ให้เช็กว่าอัปเดตเป็น 3.0.123 วันไหน เวลาไหน (ดูจาก log ของโฮสติ้ง หรือปลั๊กอินบันทึกกิจกรรมถ้ามี)
2. ดูรายชื่อผู้ใช้ เมนูผู้ใช้ (Users) กรองเฉพาะ Administrator หาบัญชีที่ไม่รู้จัก นักวิจัยพบชื่อที่ขึ้นต้นด้วย wpsupport_ และอีเมลลงท้าย @wp-mail.net
3. ดูไฟล์ระบบปลอม เช่น wp-includes/class-wp-cache-util.php ซึ่งไม่ใช่ไฟล์ของ WordPress จริง
4. เปิดไฟล์ .htaccess หาบรรทัดแปลก ๆ ที่สั่งให้ไฟล์ .cache ทำงานเป็น PHP
5. ดู Cron ด้วยปลั๊กอินอย่าง WP Crontrol หางานที่ไม่ได้สร้างเอง นักวิจัยพบงานที่ติดแท็ก #ms6v46
6. สแกนมัลแวร์ ด้วย Wordfence หรือเครื่องมือสแกนของโฮสติ้ง

ถ้าคุณดูแลเซิร์ฟเวอร์เอง ให้เช็กเพิ่มเรื่องไฟล์ authorized_keys ของ SSH, crontab ของผู้ใช้อื่นในระบบ และโปรเซสแปลก ๆ ด้วย

ขั้นตอนกู้เว็บที่ถูกต้อง

ทางที่ดีที่สุด: กู้จากแบ็กอัปก่อนเกิดเหตุ

1. กู้คืนเว็บทั้งไฟล์และฐานข้อมูล จากแบ็กอัปที่สร้างก่อน 03:02 น. วันที่ 16 ตุลาคม 2026 (เวลาไทย)
2. ปิดอัปเดตอัตโนมัติของ Rank Math PRO ไว้ก่อน กันไม่ให้มันดึงไฟล์มาใหม่ระหว่างทำงาน
3. ดาวน์โหลด Rank Math PRO 3.0.124 โดยล็อกอินที่ rankmath.com เอง แล้วติดตั้งทับ
4. เปลี่ยนรหัสผ่านทุกอย่าง ทั้งผู้ใช้ WordPress ทุกคน รหัสฐานข้อมูล Security Keys/Salts ใน wp-config.php API Key ต่าง ๆ รหัส SMTP และรหัสโฮสติ้ง/SSH
5. สแกนซ้ำ ให้แน่ใจว่าไม่มีอะไรหลงเหลือ

ระวังอีเมลหลอกลวง Rank Math ระบุว่าไม่ส่งลิงก์ดาวน์โหลดทางอีเมล ถ้าได้อีเมลแนบลิงก์ “ไฟล์แก้ไข” ให้ถือว่าเป็นฟิชชิง

ถ้าไม่มีแบ็กอัป

ทำได้ แต่ยากและเสี่ยงหลงเหลือกว่ามาก ขั้นตอนหลักคือ

1. ลบโฟลเดอร์ rank-math-pro ออกทั้งโฟลเดอร์
2. ลบรายการในฐานข้อมูลที่ Rank Math ระบุไว้ในประกาศ
3. บล็อกโดเมน rank1cdn[.]com ที่ระดับเซิร์ฟเวอร์หรือไฟร์วอลล์
4. ไล่ลบบัญชีแอดมินปลอม ไฟล์ปลอม บรรทัดแปลกใน .htaccess และ Cron ที่ไม่รู้จัก
5. ตรวจไฟล์ของปลั๊กอินและธีมอื่นด้วย เพราะมัลแวร์แก้ไฟล์เหล่านั้นได้
6. เปลี่ยนรหัสผ่านทุกอย่างหลังทำความสะอาดเสร็จ แล้วค่อยติดตั้ง 3.0.124

เพราะ Backdoor สร้างตัวเองใหม่ได้ทุกครั้งที่มีคนเข้าเว็บ การลบทีละจุดแล้วเว็บยังเปิดอยู่ มักลบไม่ทันมันสร้างกลับ ถ้าทำเอง ควรปิดเว็บเข้าโหมดซ่อมบำรุงระหว่างทำความสะอาด

บทเรียนจากเหตุการณ์นี้

เหตุการณ์นี้ไม่ได้แปลว่า Rank Math เป็นปลั๊กอินไม่ดี (เปรียบเทียบข้อดีข้อเสียได้ใน บทความ Yoast SEO กับ Rank Math) การโจมตีแบบ supply chain เกิดได้กับซอฟต์แวร์ทุกตัว สิ่งที่ตัดสินว่าเว็บไหนรอดง่าย รอดยาก คือการเตรียมตัว

• มีแบ็กอัปอัตโนมัติรายวัน เก็บย้อนหลังอย่างน้อย 14-30 วัน และเก็บแยกจากเซิร์ฟเวอร์เว็บ เหตุการณ์นี้เว็บที่มีแบ็กอัปกู้คืนได้ภายในชั่วโมง เว็บที่ไม่มีต้องไล่ล้างนานหลายวัน ดูวิธีวางระบบได้ที่ คู่มือสำรองข้อมูลและความปลอดภัย WordPress
• อย่าเปิดอัปเดตอัตโนมัติกับปลั๊กอินตัวหลักทุกตัวแบบไม่มีคนดู เว็บธุรกิจควรมีคนเช็กก่อน หรือรอสักหนึ่งถึงสองวันหลังเวอร์ชันใหม่ออก
• มีคนดูแลเว็บที่ติดตามข่าวช่องโหว่ สัปดาห์เดียวกันนี้ยังมี ช่องโหว่ PHP2Shell ใน PHP ที่ต้องอัปเดตฝั่งเซิร์ฟเวอร์อีก

ให้ Southern Whale ช่วยตรวจและดูแล

ไม่แน่ใจว่าเว็บโดนหรือไม่ หรือเช็กแล้วเจอแอดมินแปลก ๆ ทีม Southern Whale ช่วยได้

• ตรวจเว็บฟรี เช็กเวอร์ชันปลั๊กอิน ผู้ใช้แปลกปลอม และสัญญาณมัลแวร์เบื้องต้น
• ดูแลเว็บไซต์ WordPress อัปเดตปลั๊กอิน ธีม PHP พร้อมแบ็กอัปรายวัน คุณไม่ต้องตามข่าวเอง
• ถ้าเว็บเก่าเกินจะดูแลต่อ เราช่วยย้ายเว็บไซต์ไประบบใหม่ที่ปลอดภัยกว่า โดยเก็บอันดับ SEO เดิมไว้

แหล่งอ้างอิง

• SecurityWeek: Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack
• Aardwolf Security: Rank Math PRO Backdoor, what to check
• SecurityOnline: Rank Math SEO PRO compromise exploited in the wild