Rank Math PRO compromis : votre site WordPress est-il touché ?
Une backdoor cachée dans le plugin Rank Math PRO a infecté des milliers de sites WordPress les 15 et 16 octobre 2026. Voici comment vérifier et agir vite.
Si votre site WordPress utilise le plugin Rank Math PRO pour améliorer votre référencement sur Google, lisez ceci avant de faire quoi que ce soit d'autre. Les 15 et 16 octobre 2026, des pirates informatiques ont réussi à infiltrer les serveurs de l'éditeur de ce plugin et à y glisser une backdoor — c'est-à-dire une porte d'entrée cachée qui leur permet de prendre le contrôle de votre site à distance, à votre insu. Des milliers de sites dans le monde sont concernés, et les PME françaises ne font pas exception. Bonne nouvelle : il existe des moyens concrets de vérifier si vous êtes touché et de reprendre le contrôle rapidement.
Ce qui s'est passé : une attaque sur la chaîne d'approvisionnement
Une attaque sur la chaîne d'approvisionnement, cela signifie que les pirates ne se sont pas attaqués directement à votre site. Ils ont visé plus haut : les serveurs de l'entreprise qui fabrique le plugin Rank Math PRO. En corrompant le code source du plugin lui-même, ils ont fait en sorte que chaque site qui mettait à jour Rank Math PRO entre le 15 et le 16 octobre 2026 installait automatiquement une backdoor sans le savoir. Concrètement, si votre plugin s'est mis à jour durant cette fenêtre de 48 heures, votre site a probablement été compromis. La version infectée correspond aux numéros 3.0.51 à 3.0.53 de Rank Math PRO. C'est le type d'attaque le plus redoutable, car même un comportement prudent — utiliser un plugin payant et réputé, faire ses mises à jour — ne protège pas.
Comment savoir si votre site est infecté
Vous n'avez pas besoin d'être développeur pour effectuer ces premières vérifications. Commencez par identifier la version de Rank Math PRO installée sur votre site : connectez-vous à votre tableau de bord WordPress, rendez-vous dans Extensions > Extensions installées, cherchez Rank Math PRO et notez le numéro de version affiché. Si vous voyez 3.0.51, 3.0.52 ou 3.0.53, considérez votre site comme potentiellement compromis jusqu'à preuve du contraire. Ensuite, installez un plugin de sécurité gratuit comme Wordfence ou Sucuri Security — ces outils analysent automatiquement vos fichiers à la recherche de code malveillant et vous indiquent clairement si quelque chose d'anormal est détecté. Un scan complet prend généralement moins de dix minutes. Enfin, consultez les journaux d'activité de votre hébergeur : certains hébergeurs français comme o2switch, OVH ou Ionos proposent des outils de détection d'intrusion dans leur panneau de gestion.
Quels risques concrets pour votre PME
Une backdoor active sur votre site, c'est beaucoup plus grave qu'un simple bug. Les pirates qui ont installé cette porte cachée peuvent, à tout moment, voler les données de vos clients (adresses e-mail, coordonnées, parfois des données de paiement), rediriger vos visiteurs vers des sites frauduleux sans que vous le remarquiez, utiliser votre site pour envoyer des milliers d'e-mails de spam ou de phishing à votre place — ce qui peut entraîner le blacklistage de votre nom de domaine — ou encore injecter des publicités ou du contenu illégal dans vos pages. Au-delà des conséquences techniques, pensez à l'impact réputationnel : un client qui atterrit sur un site piraté ne revient pas, et une fuite de données personnelles vous expose à des sanctions de la CNIL sous le régime du RGPD. La sécurité de votre site WordPress PME n'est pas une option, c'est une protection directe de votre activité.
Ce que vous pouvez faire dès maintenant
1. Vérifiez immédiatement la version de Rank Math PRO dans votre tableau de bord WordPress. Si vous êtes sur une version comprise entre 3.0.51 et 3.0.53, passez aux étapes suivantes sans attendre. 2. Désactivez et supprimez le plugin Rank Math PRO le temps de faire le point. Votre référencement ne s'effondrera pas du jour au lendemain : quelques jours sans ce plugin ne causeront aucun dégât visible sur Google. 3. Lancez un scan de sécurité gratuit avec Wordfence ou Sucuri Security. Ces plugins s'installent en deux clics et détectent automatiquement les fichiers suspects. Suivez leurs recommandations. 4. Changez tous vos mots de passe WordPress (compte administrateur, FTP, base de données) et demandez à votre hébergeur de vérifier s'il détecte une activité anormale sur votre hébergement. 5. Contactez un prestataire informatique ou votre agence web pour une vérification approfondie avant de réinstaller Rank Math PRO dans sa version corrigée (3.0.54 ou supérieure, publiée par l'éditeur le 17 octobre 2026). Si vous n'avez pas de contact technique, le dispositif national cybermalveillance.gouv.fr propose une assistance gratuite aux PME françaises victimes de cyberattaques.