Rank Math: dopo il caso dell’agente AI, malware nei download ufficiali

I clienti di Rank Math PRO potevano compromettere il proprio sito installando un pacchetto scaricato dalla fonte ufficiale. L’azienda conferma che alcuni download della versione 3.0.123, distribuiti fra il 15 ottobre alle 20:02 UTC e il 16 alle 07:12 UTC, contenevano malware. Il plugin serve a gestire la SEO di WordPress; la versione gratuita su WordPress.org non è coinvolta.

Rank Math ha rimosso i file alterati e pubblicato la versione pulita 3.0.124. Chi ha attivato il pacchetto infetto deve però trattare il sito come compromesso: il codice malevolo può lasciare accessi nascosti e ricrearli. La guida dell’azienda prevede il ripristino da un backup pulito o una bonifica, insieme alla sostituzione delle credenziali potenzialmente esposte. Installare soltanto l’aggiornamento pulito non chiude il problema.

Arriva dopo un altro episodio recente che mette in discussione la fiducia chiesta agli utenti. Il 31 agosto Rank Math aveva ritirato il suo agente AI di supporto: aprendo il pannello di assistenza, il plugin creava una password applicativa WordPress senza spiegare chiaramente quel passaggio. L’azienda sostiene che l’agente fosse di sola lettura e ha promesso un consenso esplicito prima di generare le credenziali. Sono due problemi distinti. Si sommano però per chi deve affidare a questo plugin un sito in produzione.

Rank Math appartiene a group.one, che controlla anche WP Rocket. Su quest’ultimo, nel 2025 il gruppo ha sostituito le licenze per siti illimitati: anche i vecchi clienti passano, al rinnovo, a piani con un tetto di 50, 100 o 500 siti. È un peggioramento delle condizioni d’uso distinto dagli incidenti di sicurezza, ma riguarda lo stesso rapporto fra il gruppo e chi gli affida i propri siti.