Rank Math 被揭暗中取得網站管理員權限 + Google 解答更新通知有無行動訊號——2026 年 8 月 31 日 SEO 安全與透明度週報 | SEO Agency Hong Kong

一、Rank Math 被揭暗中取得管理員權限：事件始末

2026 年 8 月底，Rank Math WordPress 外掛被揭發存在嚴重安全疑慮。根據 Search Engine Journal 於 8 月 30 日的報導，The SEO Framework 外掛開發者 Sybre Waaijer 公開指出，Rank Math 在用戶開啟外掛的「說明與支援」（Help & Support）頁面時，會自動建立 WordPress 應用程式密碼並發送至母公司 group.one 的伺服器——整個過程完全沒有徵求用戶同意或顯示授權螢幕。

事件核心細節：

• 觸發條件：當一個已連接免費 Rank Math 帳戶的網站管理員開啟「Help & Support」頁面時，外掛立即在背景中建立一個 WordPress Application Password
• 權限範圍：該密碼繼承了當前用戶的權限等級——如果開啟頁面的用戶是管理員，則該密碼擁有完整的管理員級別權限
• 資料傳輸：該密碼被立即發送到 group.one（Rank Math 母公司，同時也擁有 WP Rocket）的伺服器
• AI 代理操作：根據 Waaijer 的調查，group.one 的 AI 代理隨後可以使用該密碼在網站上執行操作
• 影響規模：Rank Math 在超過 400 萬個 WordPress 網站上運行

Waaijer 在社交媒體上表示：「外掛從未先詢問用戶。雖然有一個『條款與條件』勾選框，但它不會阻止密碼被建立或傳送——傳輸在勾選框出現之前就已經開始。」

二、這是否構成安全漏洞？WordPress 官方規範的對比

事件引發了業界對 WordPress 外掛安全標準的廣泛討論。將 Rank Math 的做法與 WordPress 官方規範對比，關鍵差異非常明顯：

• WordPress 核心規範要求授權螢幕：WordPress 官方的 Application Password 規範明確要求一個授權步驟——外掛必須標明自己身份，向用戶展示連接資訊，並讓用戶有機會批准或拒絕。密碼僅在用戶批准後才傳送給外掛。
• WordPress.org 明確同意規則：官方外掛指南第 7 條規定：「外掛不得在未經用戶明確授權同意的情況下聯繫外部伺服器」，通常透過 opt-in 勾選框或服務註冊流程實現。
• Rank Math 的做法：用戶開啟「說明與支援」頁面時，密碼在背景中自動建立並傳送，用戶完全不知情。所謂的「條款與條件」勾選框並不阻止此流程——傳輸在用戶看到任何提示前就已發生。

Waaijer 去年曾將類似行為稱為「後門」（backdoor），但這次他更謹慎地表示：「你自己判斷。」

三、Rank Math 事件的香港企業安全啟示

這起事件對使用 WordPress 的香港企業具有直接的安全啟示：

• 立即檢查你的外掛清單：如果你的網站使用了 Rank Math，請檢查版本是否已更新至 1.0.277 或以上（該版本修復了約十多個安全問題），但即使更新後，Application Password 功能仍可能存在。考慮暫時停用 Rank Math，改用其他 SEO 外掛。
• 檢視已建立的 Application Password：在 WordPress 後台的「Users → Application Passwords」頁面中，檢查是否有任何未經你授權的密碼條目。如果有，立即撤銷。
• 權限最小化原則：不要讓所有團隊成員都擁有管理員權限。為日常運營建立編輯者或作者角色，減少任何外掛可能獲取的權限範圍。
• 定期安全審計：對於依賴 WordPress 的香港企業網站，建議定期進行安全審計，特別是檢查外掛是否有未經授權的外部伺服器連接。
• 考慮替代方案：The SEO Framework、Yoast SEO 等替代外掛都有良好的安全記錄。選擇 SEO 外掛時，安全性應與功能同等重要。

四、Google 解答：命名更新是否附帶可行動的 SEO 訊號？

與此同時，本週另一項重要 SEO 新聞來自 Google 的官方透明度說明。Search Engine Journal 在 8 月 28 日的報導中記錄了Google John Mueller 對命名更新訊號的正式回應。

一位 SEO 從業者在 Bluesky 上問了一個許多 SEO 都想知道的問題：「當 Google 為一個更新命名（如『8 月垃圾更新』或核心更新）時，這是否旨在給網站所有者提供可操作的頁面或網站層級訊號？還是純粹的時機通知/透明度公告，並不預期網站管理員採取特定行動？」

Mueller 的回答簡潔而明確：「這主要是對網站所有者的透明度公告。如果有網站所有者可以採取的行動，我們會獨立地在我們的政策、說明中心、文件和部落格中發布——通常在系統變更之前很久就會發布。」

這項回應對香港 SEO 策略的啟示：

• 不要過度解讀命名更新：Google 發布命名更新的主要目的是透明度——讓你知道發生了變化。這並不意味著你需要立即採取特定行動。
• 真正的行動訊號來自政策文件：如果 Google 希望網站所有者做某事，它會更新官方政策並提前通知。例如，網站聲譽濫用政策在更新前已提前通知，然後才在垃圾更新中執行。
• 反向思考 AI 內容問題：很多 SEO 報告 8 月垃圾更新特別針對 AI 生成的 SEO 內容。但 Google 並未在更新公告中明確提及 AI 內容——這可能意味著它們是透過現有政策（薄內容、垃圾內容政策）來執行的，而非全新的 AI 內容政策。
• 專注持續的內容品質：既然命名更新不附帶特定行動訊號，SEO 的最佳策略仍然是持續提升內容品質、強化 E-E-A-T 訊號、並確保網站技術健康——這些是無論何時都是正確的策略。

五、綜合分析：兩項新聞對香港企業 SEO 策略的雙重啟示

本週的兩項新聞——Rank Math 安全爭議和 Google 更新透明度說明——雖然看似不相關，但實際上指向同一個核心原則：SEO 不應建立在對第三方工具的盲目信任或對 Google 更新的過度解讀之上。

• 工具只是工具：Rank Math 事件提醒我們，任何 SEO 外掛或工具都不應擁有比必要更多的權限。在選擇 SEO 工具時，香港企業應優先考慮安全性和透明度。
• SEO 基本功比追更新更重要：Mueller 的回答再次確認，SEO 的成功不來自於追趕每個命名更新，而是來自持續提供高品質、符合 E-E-A-T 標準的內容。
• 自主控制權：對於香港企業而言，維護對自己網站的完全控制權——包括程式碼、外掛和伺服器層級——比任何 SEO 捷徑都更重要。

香港企業 SEO 行動清單

• 立即檢查 WordPress 外掛安全：檢視你的 WordPress 網站上所有活躍外掛，特別是 SEO 相關外掛。檢查是否有不必要的 Application Password、未知的外部伺服器連接、或未經授權的管理員帳戶
• 審視 Rank Math 使用情況：如果你使用 Rank Math，先更新至最新版本，然後在 WordPress 後台檢查「Users → Application Passwords」是否有可疑條目。考慮轉用 The SEO Framework 或 Yoast SEO 等替代方案
• 建立外掛安全審查流程：在安裝任何新外掛前，先檢查其權限需求、外部伺服器連接和政策文件。優先選擇開源且有良好安全記錄的外掛
• 不要過度解讀 Google 更新：當 Google 發布命名更新時，專注於持續改善內容品質和網站體驗，而非急於猜測更新目標並做出倉促調整
• 追蹤 Google 政策文件的變化：真正的行動訊號來自 Google 官方政策的更新。訂閱 Google Search Central 部落格，關注政策文件的變更，而非僅關注更新公告
• 定期備份網站資料：無論使用什麼外掛或 CMS，定期備份是網站安全的最後防線。確保備份獨立儲存，不受 CMS 外掛影響

小結

本週的兩項新聞從不同側面提醒我們：SEO 的核心不是追逐最新的工具或解讀最新的更新名稱，而是建立可持續的、安全可控的數位營運基礎。

Rank Math 事件警示我們，即使是最受歡迎的 SEO 外掛，也可能在你不知情的情況下做出影響網站安全的操作。而 Google 的更新透明度說明則提醒我們，命名更新的主要目的是溝通，而非行動指南——真正的 SEO 策略應該建立在持續的品質提升之上，而非對更新訊號的短期反應。

對於香港企業而言，選擇安全的工具、維護網站自主控制權、以及專注內容本質，永遠是比追逐捷徑更有效的長期 SEO 策略。

如需專業 SEO 安全審計或內容策略諮詢，歡迎聯繫我們的團隊進行免費諮詢。