Cette CVE ne décrit pas une erreur de code. CVE-2026-111862, publiée par NVD le 19 octobre 2026, décrit une compromission de la chaîne d'approvisionnement : une partie des paquets de Rank Math SEO PRO 3.0.123, l'édition payante d'un des plugins SEO les plus installés de WordPress, contenait un malware.
Mettre à jour son plugin, le geste qu'on recommande partout, était précisément ce qui infectait le site pendant la fenêtre concernée.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-111862 |
| CVSS 3.1 (Wordfence) | 9.8 (CRITICAL) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Type | Code malveillant embarqué (CWE-506) |
| Produit | Rank Math SEO PRO pour WordPress, version 3.0.123 (une partie des paquets) |
| Fenêtre | du 15 octobre 2026, 20 h 02 UTC, au 16 octobre 2026, 07 h 12 UTC |
| Version saine | 3.0.124, publiée par Rank Math en remplacement |
| Publication NVD | 2026-10-19 |
| Statut NVD | Deferred (non analysée) |
Le score est publié par Wordfence (CNA) ; NVD n'a pas produit sa propre analyse. La CVE n'est pas au CISA KEV à la date de rédaction.
Ce qui s'est passé
D'après la description NVD, qui reprend la communication de Rank Math :
- seuls les paquets téléchargés ou mis à jour pendant la fenêtre confirmée par l'éditeur sont touchés. Avoir la version 3.0.123 ne suffit pas à établir une compromission ;
- les fichiers concernés contenaient un malware capable de compromettre le site si le plugin était activé ;
- Rank Math demande aux sites qui ont activé un paquet concerné de considérer le site comme compromis ;
- l'éditeur a retiré les fichiers concernés et publié la 3.0.124 comme version saine.
NVD ne précise pas comment le canal de distribution a été compromis. Les détails sont dans la page d'incident de Rank Math citée en référence (rankmath.com/kb/pro-3-0-123-security-incident/).
Ce que fait le malware
Toujours selon la description, il peut :
- établir un accès persistant ;
- communiquer avec le domaine rank1cdn[.]com (un nom qui évoque, à tort, un CDN de l'éditeur) ;
- recréer des portes dérobées cachées à chaque visite de page ;
- exposer les identifiants WordPress, les identifiants de base de données, les clés d'API et tout autre secret lisible par le serveur web.
Le point qui compte pour le nettoyage est le troisième : une porte dérobée qui se recrée à chaque visite survit à la suppression d'un fichier isolé, et survivra probablement à la simple mise à jour vers 3.0.124. C'est une déduction, mais c'est exactement pour cela que l'éditeur parle de site compromis, et non de plugin à remplacer.
Indicateurs de compromission
Rank Math identifie, selon NVD, les indicateurs suivants :
| Indicateur | Où chercher |
|---|---|
Trois clés malveillantes dans wp_options | table wp_options (les noms exacts sont dans l'advisory éditeur) |
| Portes dérobées PHP cachées | arborescence du site, fichiers récents |
| Comptes administrateurs non autorisés | wp user list --role=administrator |
| Faux fichier du cœur WordPress | wp core verify-checksums |
Fichiers .cache exécutables en PHP | recherche de fichiers .cache contenant du code PHP, règles de serveur web qui les interprètent |
| Marqueur de cron système | crontab -l de l'utilisateur du serveur web, /etc/cron.* |
| Trafic vers rank1cdn[.]com | journaux DNS et proxy sortant |
Le marqueur de cron système est à noter : le malware ne se limite pas à WordPress, il agit au niveau de l'hôte, avec les droits de l'utilisateur du serveur web.
Qui est concerné
- Tu utilises Rank Math SEO PRO (l'édition gratuite n'est pas citée par la CVE) ;
- le plugin a été téléchargé ou mis à jour entre le 15 octobre 20 h 02 UTC et le 16 octobre 07 h 12 UTC (soit 22 h 02 et 09 h 12, heure de Paris) ;
- il a été activé.
Pour un site européen, la fenêtre couvre toute la nuit : une mise à jour automatique a pu passer sans que personne ne la voie. Vérifie les journaux de mise à jour de chaque site plutôt que de supposer.
Que faire
Si le site n'a pas reçu de paquet pendant la fenêtre
Mettre à jour en 3.0.124 et vérifier quand même l'absence des indicateurs ci-dessus.
Si le site a activé un paquet de la fenêtre
Suivre la consigne de l'éditeur : le site est compromis.
- Isoler : mode maintenance, ou blocage du trafic entrant le temps du nettoyage.
- Restaurer depuis une sauvegarde antérieure au 15 octobre si possible, puis installer la 3.0.124. Un nettoyage fichier par fichier est risqué face à un malware qui se recrée.
- Supprimer les comptes administrateurs inconnus, les clés
wp_optionssignalées par l'éditeur et l'entrée cron système. - Renouveler tous les secrets : mots de passe des comptes WordPress, mot de passe de la base, clés et sels de
wp-config.php, clés d'API stockées dans les options des plugins (SMTP, paiement, CRM…). - Bloquer rank1cdn[.]com en sortie et surveiller toute tentative de connexion.
- Vérifier l'hôte : en hébergement mutualisé ou multi-sites, un cron système implique de contrôler les autres sites tournant sous le même utilisateur.
Pour les autres plugins WordPress critiques de la semaine, voir LearnPress et LatePoint.
Pourquoi surveiller en continu vos plugins WordPress
Une compromission de la chaîne d'approvisionnement inverse la règle habituelle : ce n'est pas la version ancienne qui est dangereuse, c'est une mise à jour précise, sur une fenêtre de quelques heures. Pour réagir, il faut savoir immédiatement quels sites portent le plugin et dans quelle version.
Avec cveo.tech, inventorie tes plugins WordPress avec leur version et reçois une alerte dès qu'une CVE critique les touche.