你装的那个Rank Math PRO，可能已经带后门了
刚收到客户消息：‘昨天在rankmath.com下载的PRO插件，今天后台多出一个叫wp-cron-scheduler的陌生文件夹，宝塔日志里有异常POST请求——是不是被黑了？’
不是巧合。据公开报道，Rank Math官方确认：3.0.123版Rank Math PRO在UTC 10月15日20:02至10月16日07:12之间，从官网下载或通过自动更新获取的安装包，已被植入恶意代码。一旦启用，会静默创建隐藏后门，支持远程执行PHP、写入Webshell、劫持cron任务。
怎么判断你的站中招没中招？
别急着重装，先查三处：
- 检查插件目录：/wp-content/plugins/rank-math-pro/ 下是否存在 includes/class-cron-scheduler.php 或 vendor/autoload_backdoor.php（注意：不是所有版本都有这两个文件名，但凡发现非官方文档提及的PHP文件，立刻隔离）
- 查数据库：进phpMyAdmin，搜 wp_options 表里 option_name 含 rankmath_cron 或 rm_scheduler 的记录；再搜 wp_posts 表里 post_content 含 base64_decode( 或 eval( 的异常文章（尤其是发布时间在10月16日前后）
- 看访问日志：宝塔或Nginx access.log 里找 POST /wp-admin/admin-ajax.php?action=rm_.* 这类非常规接口调用，且来源IP非常驻用户段（比如大量境外小运营商IP）
删掉插件就行了吗？
不行。这个后门能自我恢复——据The Hacker News报道，恶意代码会在插件停用后，通过定时任务重新写入自身。你删了，它半小时后又回来。
正确操作顺序是：
- 禁用Rank Math PRO插件（不删除）
- 手动删掉整个 /wp-content/plugins/rank-math-pro/ 目录
- 进数据库，删掉所有 option_name 以 rank_math_ 开头的记录（保留 rank_math_settings 可选，但建议重配）
- 检查 /wp-content/mu-plugins/ 和 /wp-content/themes/*/functions.php 是否被注入钩子函数（常见特征：add_action('init', 'rm_hidden_hook');）
- 最后，换回免费版Rank Math（开源，GitHub可审）或改用Yoast SEO（当前无已知漏洞）
为什么这次特别危险？
因为不是漏洞利用，是源头污染。你没填错密码、没点钓鱼链接、没装盗版主题——只是按流程从官网下了个付费插件，就中招了。
不少客户会问：‘那以后还能信谁的付费插件？’
现实一点说：信不了。尤其当插件不开源、不提供SHA256校验、更新包不签名、后台服务全托管在厂商自己服务器上时，风险天然存在。我们经常遇到客户为省几百块买来路不明的‘破解PRO版’，结果网站三个月内被挂马三次；这次是正版渠道翻车，反而更提醒你：对SEO这类高频调用、深度集成的插件，宁可功能少点，也要可控。
要不要现在就换服务器或换线路？
不用。这次攻击和服务器位置、带宽类型、是否备案都没关系。香港VPS、CN2 GIA、内地云主机，只要装了那个时段的Rank Math PRO，都一样。
真正该动的是建站逻辑：把SEO配置从‘依赖插件自动写’，切回‘静态HTML+手动结构化数据’。比如用微码盒提供的轻量WordPress主题，自带Schema标记、面包屑、Open Graph字段，不需要额外插件也能过Google核心算法检测。这类主题在部署前就能看到全部代码，改一行删一行都清楚。
如果你接客户站，又不想反复处理这类安全兜底，建议把Rank Math这类高权限插件，换成纯前端方案：用PbootCMS模板做企业站（模板源码开放）、或直接套用微码盒的HTML模板（免后台、零插件、备案快），复杂SEO需求靠Nginx重写+静态JSON-LD解决。
安全不是加一层防护，是减少不可控环节。插件越少，攻击面越窄；代码越透明，修复越快。
站内查看模板与建站教程
