Rank Math WordPress Plugin 被指控偷偷取得管理員權限：香港網站必須立即檢查嘅安全風險

如果你嘅網站用緊 Rank Math 呢個 SEO 外掛——而且香港好多人用——咁今次呢單新聞你一定要知。Search Engine Journal 報導咗一個令成個 SEO 社群炸鍋嘅發現：Rank Math 被指控喺用戶完全唔知情嘅情況下，自動建立 WordPress Application Password，將管理員級別嘅權限交俾 Rank Math 背後嘅公司 group.one（同時亦係 WP Rocket 嘅母公司）。呢件事對香港中小企嚟講唔單止係 SEO 新聞，更加係網站安全嘅警號。

事件係點發生？

事情係由另一個 SEO 外掛 The SEO Framework 嘅開發者 Sybre Waaijer 踢爆嘅。佢喺 X（前 Twitter）發文詳細解釋咗 Rank Math 嘅行為：

「兩日前，Rank Math 喺 1.0.277 版本入面 fix 咗大約十幾個安全漏洞。呢個外掛運行喺超過 400 萬個網站上面。喺同一次更新入面，group.one（同時亦擁有 WP Rocket）而家可以取得你網站嘅管理員權限。」

Waaijer 仲話，上次佢會將呢啲嘢歸類為「後門」，今次就留返俾大家自己判斷。

具體係點運作嘅？

根據 Waaijer 嘅技術分析，Rank Math 嘅機制係咁嘅：

• 觸發條件：當一個網站管理員嘅帳號已經連接咗免費嘅 rankmath.com 帳戶，然後佢打開 Rank Math 嘅「Help & Support」部分，個外掛就會自動觸發。
• 自動建立 Application Password：Rank Math 會為嗰個管理員用戶建立一個 WordPress Application Password，名為「WAP – Rank Math Support Agent」。
• 傳送至外部伺服器：呢個密碼會被傳送到 group.one 嘅伺服器，令佢哋嘅 AI Agent 可以代表你喺你嘅網站上執行操作。
• 零授權：呢個過程完全冇問過用戶同意。雖然有一個「Terms & Conditions」對話框，但 Waaijer 指出密碼嘅建立同傳送喺對話框彈出之前已經開始咗。

呢個做法的確有問題

雖然 WordPress Application Passwords 本身係 WordPress Core 嘅正當功能，容許外掛生成可撤銷嘅憑證，但關鍵在於授權流程。WordPress 嘅官方文件清楚列明，外掛喺建立 Application Password 之前，必須顯示授權畫面，俾用戶知道邊個外掛正在要求連接，並且要得到用戶明確批准之後先可以建立密碼。

WordPress 嘅外掛指引亦清楚規定：

• 外掛唔可以喺未經「明確同授權嘅同意」下聯絡外部伺服器
• 必須使用 opt-in 機制（例如核取方塊或用戶主動登記）
• 禁止未經明確確認就自動收集用戶數據

Rank Math 嘅做法明顯同呢啲指引有衝突。而且，呢個「WAP – Rank Math Support Agent」嘅 Application Password 係唔會過期嘅——即係話一旦建立咗，就會一直有效，直到你自己手動撤銷。

社群反應：極度負面

SEO 社群嘅反應可以話係一面倒嘅負面。有用戶表示正準備搬離 Rank Math，有啲人更加質疑點解一個 SEO 外掛需要有 administrator-level 嘅後台存取權。仲有有用戶報告 Rank Math 嘅討論區曾經有大規模嘅相關討論帖，但之後被神秘刪除咗。

值得一提嘅係，Rank Math 本身喺 Search Engine Journal 嘅推薦 WordPress 外掛清單中並冇上榜，其中一個原因就係要求外掛必須可信並且冇安全漏洞嘅歷史。根據記錄，Rank Math 喺 2024 年有 7 個漏洞、2025 年有 4 個、2026 年到目前為止已經有 3 個，包括一個近期嘅 Unauthenticated Stored Cross-Site Scripting 漏洞。

香港企業嘅立即行動清單

如果你嘅網站有用 Rank Math，請立即做以下 5 件事：

1. 檢查 Application Passwords：去 WP Admin → Users → Profile → Application Passwords，睇下有冇任何以「WAP –」開頭嘅密碼。如果有的話，立即 Revoke。
2. 考慮暫停使用 Rank Math：喺 Rank Math 正式回應同修正呢個問題之前，你可以考慮暫時停用 Rank Math，轉用其他 SEO 外掛（例如 Yoast SEO 或 The SEO Framework）。
3. 檢查網站有冇異常活動：用 Security 外掛（如 Wordfence、Sucuri）檢查網站有冇異常嘅登入記錄或檔案改動。
4. 更新所有外掛：確保你網站上所有外掛都係最新版本。安全漏洞通常會喺更新入面修補。
5. 定期審計網站權限：唔單止係 Rank Math，你應該定期審計所有外掛嘅權限設定，確保冇任何外掛擁有超出需要嘅存取級別。

對香港企業嘅啟示

呢件事反映出一個好重要嘅教訓：SEO 外掛嘅選擇唔單止要睇功能，仲要睇安全紀錄同開發者嘅信譽。一個受歡迎嘅外掛（400 萬個網站使用）都可以有咁嘅安全問題，更加說明咗定期審計網站安全嘅重要性。

對於香港中小企嚟講，如果你哋嘅網站係由外判嘅 Agency 管理，建議你即刻同佢哋確認網站係咪用緊 Rank Math，同埋有冇受到影響。網站安全唔單止影響 SEO，更加影響客戶對你嘅信任。