Rank Math PRO 3.0.123: Lieferkettenangriff verteilt Backdoor an WordPress-Sites
Ein Teil der Downloads von Rank Math PRO 3.0.123 enthielt Malware. Wer die Version zwischen 15. Oktober, 20:02 UTC, und 16. Oktober, 07:12 UTC, installiert und aktiviert hat, muss die WordPress-Site als kompromittiert behandeln. Die kostenlose Version ist nicht betroffen.
Ein Teil der Downloads von Rank Math PRO 3.0.123 enthielt Schadcode. Betroffen sind Websites, die das kostenpflichtige WordPress-SEO-Plugin zwischen dem 15. Oktober 2026, 20:02 UTC, und dem 16. Oktober 2026, 07:12 UTC, heruntergeladen oder darüber aktualisiert haben. Wer die Version in diesem Zeitfenster installiert und aktiviert hat, muss die Website laut Hersteller als kompromittiert behandeln. Ein Update auf die saubere Version 3.0.124 allein reicht dann nicht, weil die Malware eine Hintertür bei jedem Seitenaufruf neu anlegen kann.
Nicht betroffen ist die kostenlose Ausgabe Rank Math SEO aus dem WordPress.org-Verzeichnis. Auch wer 3.0.123 nur heruntergeladen, aber nie installiert hat, hat laut Rank Math aus diesem Vorfall allein keinen Hinweis auf eine Kompromittierung. Admins mit Rank Math PRO sollten heute prüfen, wann die Version 3.0.123 auf ihre Sites kam. Der Herstellerhinweis stammt bereits vom 16. Oktober. Neu sind die aktualisierte Fassung vom 19. Oktober und die Berichte von BleepingComputer und SecurityWeek, die das Verhalten der selbstwiederherstellenden Backdoor und die Indikatoren genauer beschreiben.
Was ist passiert?
Angreifer haben einen Teil der Pakete von Rank Math PRO 3.0.123 manipuliert, die über die offizielle Website des Herstellers verteilt wurden. Rank Math hat die betroffenen Dateien nach eigenen Angaben sofort entfernt und Version 3.0.124 als saubere Fassung veröffentlicht. Den Sicherheitshinweis mit Prüf- und Bereinigungsschritten hat der Hersteller am 16. Oktober in seiner Wissensdatenbank publiziert und am 19. Oktober aktualisiert. Wordfence führt den Vorfall seit dem 17. Oktober unter CVE-2026-111862 mit CVSS 9.8.
Wie die Angreifer an die Pakete gelangten, ist öffentlich nicht bekannt. BleepingComputer hat bei Rank Math nach der Zahl betroffener Sites und dem ursprünglichen Angriffsweg gefragt und bis zur Veröffentlichung keine Antwort erhalten.
Wer ist betroffen?
Die Einordnung hängt davon ab, was mit dem Paket aus dem Zeitfenster passiert ist:
- Installiert und aktiviert: Website gilt als kompromittiert, vollständige Wiederherstellung nötig.
- Installiert, aber nie aktiviert: Plugin-Dateien löschen, Version 3.0.124 aus dem Rank-Math-Konto installieren und einen Sicherheitsscan laufen lassen.
- Nur heruntergeladen: laut Hersteller kein Hinweis auf eine Kompromittierung allein durch diesen Vorfall.
- Kostenlose Version von WordPress.org: nicht betroffen, keine Maßnahme nötig.
Wordfence weist ausdrücklich darauf hin, dass die Versionsnummer 3.0.123 allein noch keine Kompromittierung belegt. Entscheidend ist der Zeitpunkt des Downloads.
Was die Backdoor macht
Laut Hersteller richtet die Malware einen dauerhaften Zugang ein, kommuniziert mit der Domain rank1cdn[.]com und legt eine versteckte Hintertür bei jedem Besuch der Website neu an. Deshalb ist die Reihenfolge bei der Bereinigung wichtig: Gelöschte Dateien kehren sonst beim nächsten Seitenaufruf zurück.
SecurityWeek fasst zusammen, dass die Malware gefälschte WordPress-Core-Dateien ablegen, .htaccess-Regeln ergänzen kann, damit .cache-Dateien als PHP ausgeführt werden, sowie Cronjobs anlegen und andere Plugins und Themes verändern kann. Alles, was für den Webserver erreichbar ist, gilt als potenziell abgeflossen: Datenbankzugänge, API-Schlüssel und weitere Geheimnisse.
BleepingComputer hat zudem auf VirusTotal eine PHP-Probe gefunden, die dieselben Indikatoren enthält und die Datei wp-includes/class-wp-cache-util.php anlegt. Die Probe kann laut Bericht Befehle ausführen, die Datenbank verändern sowie Zugangsdaten für AWS, Cloudflare, Google Cloud und Azure und SSH-Schlüssel stehlen. Ob sie über das Plugin verteilt wurde, ist unbestätigt.
Indikatoren für eine Kompromittierung
Rank Math und Wordfence nennen folgende Spuren. Fehlen sie, ist eine Site laut Wordfence nicht automatisch sauber:
- ausgehende Verbindungen zu
rank1cdn[.]com - Einträge in
wp_optionsmit dem option_name_uf6qdn2hmm,t8krdk990phboder_np5pvf754c - unbekannte Administratoren mit dem Namenspräfix
wpsupport_oder E-Mail-Adressen auf@wp-mail[.]net - die Datei
wp-includes/class-wp-cache-util.php, die kein Bestandteil von WordPress ist - PHP-Code mit
base64_decodeund XOR-Schleifen, dem Schlüsselxmmqhn,proc_openoder PHP-FPM-Socket-Code - Systemcronjobs des Webserver-Benutzers mit der Markierung
#ms6v46 - PHP-Dateien im Upload-Verzeichnis sowie .cache-Dateien mit PHP-Code
Was Admins jetzt tun sollten
- Inventar prüfen: Auf allen WordPress-Instanzen die installierte Rank-Math-PRO-Version und den Zeitpunkt der Installation von 3.0.123 ermitteln, etwa per
wp plugin list. - Aus Backup wiederherstellen: Bei aktivierter Version 3.0.123 aus dem Zeitfenster empfiehlt Rank Math, Dateien und Datenbank aus einer Sicherung von vor dem 15. Oktober, 20:02 UTC, zurückzuspielen.
- Ohne Backup in der richtigen Reihenfolge bereinigen: Erst den kompletten Ordner
rank-math-prolöschen (Deaktivieren genügt nicht), die drei wp_options-Einträge entfernen und ausgehende Verbindungen zu rank1cdn[.]com sperren. Erst danach nach weiteren Hintertüren, Konten und Cronjobs suchen. - Core und Plugins prüfen:
wp core verify-checksumsundwp plugin verify-checksums --allausführen. Premium-Plugins ohne Prüfsummen gegen eine saubere Kopie vergleichen. - Zugangsdaten tauschen: WordPress-Passwörter, Datenbankzugang, Keys und Salts in wp-config.php, API-Schlüssel, SMTP- und Zahlungsdaten sowie Hosting-, SFTP- und SSH-Zugänge erneuern. Das gilt auch nach einer Wiederherstellung aus dem Backup.
- Server außerhalb von WordPress prüfen: authorized_keys, Crontabs anderer Benutzer, laufende Prozesse und beschreibbare Verzeichnisse außerhalb des Webroots kontrollieren.
- Vorsicht bei E-Mails: Version 3.0.124 nur direkt über das Konto auf rankmath.com laden. Der Hersteller verschickt nach eigenen Angaben keine Login- oder Download-Links per E-Mail.
Einordnung für Unternehmen
Der Fall zeigt, dass auch Premium-Plugins mit eigenem Update-Kanal ein Lieferkettenrisiko sind. Anders als bei Plugins aus WordPress.org gibt es für sie oft keine öffentlichen Prüfsummen, mit denen sich Dateien schnell verifizieren lassen. Dienstleister mit vielen Kundenseiten sollten den Zeitraum über alle Instanzen abfragen. Versionierte Backups und eine Sperre für ausgehende Verbindungen des Webservers begrenzen den Schaden.
Passende Anleitungen auf S-EDV
- WordPress vor Änderungen sichern: Snapshots und eigene Backups, die im Ernstfall eine saubere Wiederherstellung erlauben.
- PHP-Ausführung im Upload-Ordner verhindern: schließt einen typischen Ablageort für Hintertüren.
- WooCommerce absichern: Admin-Zugriffe, Konten und Zahlungsdaten nach einem Vorfall prüfen.
