Plugin Rank Math WordPress acusado de obter acesso de administrador secretamente

Surgiram novas alegações de que o Rank Math introduziu uma funcionalidade que concede silenciosamente à empresa permissões de administrador em sites WordPress. O acesso é acionado quando um usuário instala o Rank Math e abre a área de Ajuda e Suporte do plugin.

Supostamente, não há consentimento ou notificação

O desenvolvedor do plugin SEO Framework SEO recentemente twittou que quando um usuário abre a seção Ajuda e Suporte do Rank Math, o plugin cria uma senha de aplicativo WordPress vinculada ao usuário que está abrindo a seção Ajuda e Suporte. Portanto, se o usuário que está clicando na área de administração do plugin tiver o nível de permissão de administrador, a senha do aplicativo WordPress gerada pelo Rank Math herdará as permissões de nível de administrador.

Sybere Waaijer explicou:

“Dois dias atrás, o Rank Math resolveu cerca de uma dúzia de problemas de segurança no 1.0.277. Este plugin é executado em mais de 4 milhões de sites.

Nessa mesma atualização, o grupo(.)um (que também possui o WP Rocket) agora obtém privilégios administrativos para o seu site.

Da última vez, classifiquei algo assim como backdoor. Desta vez, você pode decidir.

O arquivo: vendor/groupone/wap-client/includes/class-app-password-manager.php.

O que faz:
Quando um administrador de site cujo site está conectado a uma conta rankmath(.)com (gratuita) abre “Ajuda e Suporte”, o plug-in cria imediatamente uma senha de aplicativo WordPress para esse usuário. Ele envia essa senha para o grupo(.)servidores de alguém. O agente de IA deles pode então agir em seu nome em seu site.”

Senha do aplicativo WordPress

As senhas de aplicativos WordPress são algo legítimo no WordPress, fazem parte do núcleo do WordPress e são algo que os plug-ins podem fazer. Existem até diretrizes que informam aos desenvolvedores de plug-ins como gerar senhas de aplicativos WordPress. É provavelmente por isso que Sybre Waaijer evitou categorizar o que o Rank Math está fazendo como uma porta dos fundos.

Rank Math não pede autorização

Uma das várias razões pelas quais Waaijer se opõe ao que o Rank Math está fazendo tem a ver com a forma como o Rank Math está gerando esses níveis de permissão para si mesmo.

Ele explicou:

“O plugin nunca pergunta primeiro. Existe uma caixa de “Termos e Condições”, mas isso não impede que a senha seja criada ou enviada. A transferência começa antes mesmo de a caixa aparecer.”

A autorização do usuário está integrada ao fluxo de senha do aplicativo WordPress

A documentação oficial do WordPress especifica uma tela de autorização onde o plugin se identifica, o usuário vê a conexão e tem a oportunidade de aprová-la ou rejeitá-la. A especificação diz que a Senha do Aplicativo só é passada para o plugin depois de aprovada pelo usuário.

Captura de tela do exemplo de autorização

Regra de consentimento explícito do WordPress.org

As diretrizes de plugins do WordPress especificam uma regra de consentimento explícita em relação a servidores externos. As diretrizes oficiais dizem que os plug-ins não podem entrar em contato com servidores externos sem “consentimento explícito e autorizado”, especificando uma caixa de seleção de aceitação. Eles também proíbem a coleta automatizada de dados do usuário sem confirmação explícita.

As diretrizes especificam:

“7. Os plug-ins não podem rastrear usuários sem o seu consentimento.
No interesse de proteger a privacidade do usuário, os plugins não podem entrar em contato com servidores externos sem consentimento explícito e autorizado. Isso geralmente é feito por meio de um método de ‘opt in’, exigindo registro em um serviço ou uma caixa de seleção nas configurações do plug-in. A documentação sobre como os dados do usuário são coletados e usados ​​deve ser incluída no leia-me do plugin, de preferência com uma política de privacidade claramente declarada.”

As senhas dos aplicativos devem ser credenciais revogáveis

O WordPress descreve as senhas de aplicativos como algo que um usuário pode revisar e revogar.

“As senhas de aplicativos são um recurso do WordPress que permite gerar credenciais revogáveis ​​por aplicativo…

E também:

“Uma senha de aplicativo é:

Revogável individualmente, para que você possa desabilitar uma única integração sem alterar a senha principal do usuário.”

Waaijer aconselhou como proceder para revogar a senha do aplicativo que o agente de suporte do Rank Math aciona:

“A senha aparece no seu perfil como “WAP – Rank Math Support Agent”. Fechar a guia “Ajuda e Suporte” não a revoga. Esta senha do aplicativo não expira. Você não pode desligar o “Agente de Suporte”.

O que você deve fazer:
Se você abriu “Ajuda e Suporte” enquanto estava conectado, revogue as senhas do aplicativo imediatamente.

Vá para “WP Admin -> Usuários -> Perfil -> Senhas de aplicativos e revogue qualquer coisa que comece com “WAP –”.

Respostas do usuário

A reação do usuário foi absolutamente negativa durante todo o processo.

O tweet de @tprinty exemplificou a raiva que os usuários sentiam em relação ao Rank Math:

“Isso é horrível. WP precisa de SEO como parte do núcleo.”

Rank Math acusado de excluir reclamações

@CAwavehello relatou que o fórum de discussão do Rank Math tinha um grande tópico sobre esse tópico e que a discussão foi posteriormente excluída, provavelmente pelo Rank Math.

@CAwavehello compartilhou:

“Eu estava me perguntando por que toda essa agitação. Houve um grande tópico iniciado na página do fórum do WP há alguns dias e agora ele foi excluído magicamente. Recebi a notificação hoje de que eles o excluiram depois que todo o inferno começou no fórum de usuários. WTF?!”

Usuários se afastando do Rank Math

@SwiftyLunatic expressou que estavam afastando seus sites do Rank Math:

“É hora de tirar meus sites de @rankmathseo

por que fazer isso, sua empresa obscura. Melhor plugin de SEO para mudar também, por favor?”

@SEOMastery2026 tuitou:

“esperar acesso de administrador sem perguntar?”

Classifique o Math que não está na lista de plug-ins aprovados do SEJ

O Rank Math não foi incluído na lista de plug-ins recomendados para WordPress do Search Engine Journal porque um dos requisitos é que os plug-ins sejam confiáveis, o que inclui não ter histórico de vulnerabilidades.

O Rank Math tinha sete vulnerabilidades em 2024, quatro vulnerabilidades em 2025 e, até agora, em 2026, três vulnerabilidades foram descobertas no Rank Math, incluindo uma vulnerabilidade recente de script entre sites armazenados não autenticados. Sempre faça uma verificação completa de todos os plug-ins usados ​​em seu site, incluindo uma verificação de segurança.

Imagem em destaque da Shutterstock/ViDI Studio