Was ist bei Rank Math passiert?
Am 16. Oktober 2026 bestätigte Rank Math einen Sicherheitsvorfall in seiner Softwareverteilung. Unbekannte Angreifer hatten offenbar die Möglichkeit erhalten, manipulierte Plugin-Pakete über die offiziellen Vertriebswege des Unternehmens bereitzustellen.
Der bestätigte Zeitraum erstreckte sich vom 15. Oktober um 22:02 Uhr bis zum 16. Oktober um 09:12 Uhr deutscher Sommerzeit. Damit konnten über elf Stunden lang kompromittierte Dateien an WordPress-Betreiber ausgeliefert werden.
Das Besondere: Die betroffenen Administratoren mussten keine verdächtigen Webseiten besuchen, keine manipulierten E-Mail-Anhänge öffnen und auch keine Software aus inoffiziellen Quellen installieren. Es genügte, ein reguläres Update von Rank Math PRO durchzuführen oder das Plugin im genannten Zeitraum herunterzuladen und anschließend zu aktivieren.
Der Angriff ist damit ein Beispiel für eine sogenannte Software-Supply-Chain-Kompromittierung. Nicht die Website des späteren Opfers ist der ursprüngliche Angriffspunkt, sondern die Infrastruktur, über die vertrauenswürdige Software verteilt wird.
Welche Versionen sind betroffen?
Nach Angaben von Rank Math und Wordfence gilt die Warnung ausschließlich für manipulierte Pakete von Rank Math SEO PRO 3.0.123, die im bestätigten Angriffszeitraum bezogen wurden.
- Betroffenes Plugin: Rank Math SEO PRO
- Manipulierte Version: 3.0.123, ausschließlich bestimmte Download- und Updatepakete
- Angriffszeitraum: 15.10.2026, 22:02 Uhr bis 16.10.2026, 09:12 Uhr MESZ
- Bereinigte Version: 3.0.124
- Sicherheitskennung: CVE-2026-111862
- Schweregrad: Kritisch, CVSS 9,8
Die Versionsnummer allein reicht nicht zur Feststellung einer Infektion. Rank Math hatte Version 3.0.123 bereits am 7. Oktober veröffentlicht. Wer das unveränderte Paket vor Beginn des Angriffs heruntergeladen hatte, fällt nicht unter das bestätigte Zeitfenster.
Selbstheilende Hintertür: Warum die Malware besonders gefährlich ist
Die eingeschleuste Malware ist darauf ausgelegt, dauerhaften Zugriff auf kompromittierte WordPress-Installationen zu ermöglichen.
Rank Math warnt ausdrücklich davor, lediglich verdächtige Dateien zu löschen. Bestimmte Komponenten können versteckte PHP-Hintertüren erneut erzeugen, sobald die Website aufgerufen wird. Ein oberflächlicher Bereinigungsversuch kann deshalb wirkungslos bleiben.
Der Hersteller nennt mehrere mögliche Spuren und Veränderungen:
- Versteckte PHP-Dateien innerhalb von WordPress-Plugins und Themes
- Unbekannte Administratorkonten mit weitreichenden Zugriffsrechten
- Manipulierte Datenbankeinträge
- Gefälschte WordPress-Systemdateien
- Veränderte .htaccess-Konfigurationen zur Ausführung von PHP-Code in ungewöhnlichen Dateien
- Manipulierte Cronjobs und weitere Mechanismen für dauerhaften Zugriff
- Möglicherweise offengelegte Passwörter, Datenbankzugänge und API-Schlüssel
Als verdächtiges Kommunikationsziel nennt Rank Math außerdem die Domain rank1cdn.com. Ausgehende Verbindungen zu dieser Adresse sollten bei der Untersuchung berücksichtigt werden.
Die beschriebenen Mechanismen stammen aus den technischen Sicherheitshinweisen des Herstellers. Eine vollständige öffentliche Analyse des eingeschleusten Schadcodes liegt bislang nicht vor.
Warum ein Update auf Version 3.0.124 nicht ausreicht
Rank Math hat die manipulierten Dateien inzwischen aus seiner Verteilung entfernt und Version 3.0.124 veröffentlicht. Damit wird jedoch nur das betroffene Plugin ersetzt.
Wurde die manipulierte Version bereits ausgeführt, können sich zusätzliche Schadkomponenten außerhalb des eigentlichen Plugin-Verzeichnisses befinden. Dazu zählen beispielsweise versteckte PHP-Dateien, neue Administratorkonten und geplante Systemaufgaben.
Ein Update beseitigt deshalb nicht automatisch eine bereits erfolgte Kompromittierung.
Rank Math und Wordfence empfehlen, jede Website, auf der eines der betroffenen Pakete aktiviert wurde, als kompromittiert zu behandeln – auch dann, wenn inzwischen Version 3.0.124 installiert ist.
So können WordPress-Betreiber ihre Installation überprüfen
Wer Rank Math PRO einsetzt, sollte zunächst das Installations- und Updateprotokoll prüfen. Entscheidend ist, ob Version 3.0.123 während des bestätigten Angriffszeitraums installiert oder aktualisiert wurde.
War ein betroffenes Paket lediglich heruntergeladen, aber nie installiert oder aktiviert worden, gibt es laut Rank Math allein aufgrund dieses Vorfalls keinen Hinweis auf eine kompromittierte Website.
Wurde es installiert, aber nicht aktiviert, sollten die betroffenen Plugin-Dateien gelöscht, die bereinigte Version aus dem offiziellen Rank-Math-Kundenkonto installiert und anschließend ein Sicherheitsscan durchgeführt werden.
Wurde das manipulierte Paket aktiviert, empfiehlt Rank Math die vollständige Wiederherstellung der Website einschließlich Datenbank aus einer Sicherung, die vor dem 15. Oktober 2026 um 22:02 Uhr MESZ erstellt wurde.
Technische Indikatoren: Diese Spuren können auf eine Infektion hinweisen
Für Administratoren mit Server- oder Datenbankzugriff nennen die Sicherheitshinweise mehrere konkrete Erkennungsmerkmale.
Verdächtige Datenbankeinträge
In der WordPress-Optionstabelle können Einträge mit folgenden Namen auftreten:
_uf6qdn2hmm
t8krdk990phb
_np5pvf754c
Die Tabelle heißt standardmäßig wp_options, kann bei abweichendem Tabellenpräfix jedoch anders benannt sein.
Manipulierte Dateien und Administratoren
Ein weiterer bekannter Indikator ist die Datei:
wp-includes/class-wp-cache-util.php
Nach Angaben von Rank Math gehört diese Datei nicht zum offiziellen WordPress-Kern.
Bei den Administratorkonten sollten unbekannte Benutzernamen mit dem Präfix wpsupport_ sowie E-Mail-Adressen mit der Domain wp-mail.net untersucht werden.
Auch unerwartete PHP-Dateien im Verzeichnis wp-content/mu-plugins/, in Plugin- und Theme-Verzeichnissen oder im Upload-Ordner können Hinweise liefern.
Prüfung mit WP-CLI
Administratoren können einige Prüfungen über die WordPress-Kommandozeile durchführen:
wp user list --role=administrator
wp cron event list
wp core verify-checksums
wp plugin verify-checksums --all
Damit lassen sich Administratorkonten und geplante WordPress-Aufgaben anzeigen sowie WordPress-Kerndateien und unterstützte Plugins anhand offizieller Prüfsummen kontrollieren.
Für kostenpflichtige Plugins stehen nicht immer offizielle Prüfsummen zur Verfügung. Ein unauffälliger Scan ist daher kein sicherer Beweis, dass keine Hintertür mehr existiert.
Was tun, wenn die Website bereits kompromittiert wurde?
Die bevorzugte Maßnahme des Herstellers ist eine vollständige Wiederherstellung aus einem vertrauenswürdigen Backup von vor dem Angriff. Dabei sollten sowohl die Dateien als auch die Datenbank berücksichtigt und mögliche Veränderungen auf Serverebene untersucht werden.
Steht kein geeignetes Backup zur Verfügung, ist eine manuelle Bereinigung erforderlich. Dabei muss nach den Anweisungen von Rank Math zunächst der Mechanismus deaktiviert werden, der die Hintertür wiederherstellen kann.
Der Hersteller nennt dafür eine feste Reihenfolge: Das gesamte Plugin-Verzeichnis rank-math-pro entfernen, die drei beschriebenen schädlichen Datenbankoptionen beseitigen und ausgehende Verbindungen zur Angreifer-Domain blockieren. Erst danach sollen die übrigen Schadkomponenten gesucht und entfernt werden.
Vor Eingriffen in ein produktives System sollten Beweise, Protokolle und Sicherungen erhalten bleiben. Betreiber ohne Erfahrung in der Bereinigung kompromittierter WordPress-Installationen sollten ihren Hoster oder einen IT-Sicherheitsdienstleister hinzuziehen.
Zusätzlich empfiehlt der Hersteller die Erneuerung sämtlicher möglicherweise offengelegter Zugangsdaten. Dazu gehören WordPress-Passwörter, Datenbankkennwörter, FTP- und SSH-Zugänge, WordPress-Sicherheitsschlüssel sowie API-Schlüssel und Zugangsdaten angebundener Dienste.
Für Onlineshops und andere Websites, die personenbezogene Daten verarbeiten, kann außerdem eine datenschutzrechtliche Prüfung notwendig werden. Ob eine meldepflichtige Datenschutzverletzung vorliegt, hängt insbesondere davon ab, ob personenbezogene Daten betroffen sind und welche Risiken daraus entstehen.
Supply-Chain-Angriff: Wenn selbst offizielle Updates zum Risiko werden
Der Vorfall verdeutlicht ein grundlegendes Problem moderner Softwareversorgung: Website-Betreiber müssen darauf vertrauen können, dass Updates eines Herstellers unverändert und sicher ausgeliefert werden.
WordPress-Systeme bestehen häufig aus zahlreichen Erweiterungen verschiedener Anbieter. Besonders kostenpflichtige Plugins werden teilweise direkt über die Infrastruktur ihres Herstellers aktualisiert, unabhängig vom offiziellen WordPress-Plugin-Verzeichnis.
Gelingt es Angreifern, einen solchen Updatekanal zu kompromittieren, können sie schädlichen Code über einen eigentlich vertrauenswürdigen Verteilungsweg bereitstellen.
Im aktuellen Fall war nicht einmal die Installation einer vermeintlich veralteten Software erforderlich. Gerade die Aktualisierung auf eine regulär angebotene Version konnte zur Infektion führen.
Welche Sicherheitsmechanismen bei Rank Math konkret überwunden wurden, ist derzeit öffentlich nicht abschließend geklärt. Auch über die Identität der Angreifer und die tatsächliche Zahl kompromittierter WordPress-Installationen liegen keine belastbaren Angaben vor.
Fazit: Plugin-Version prüfen – und mögliche Infektionen ernst nehmen
Der Angriff auf Rank Math PRO zeigt, dass selbst reguläre Softwareupdates kein absoluter Schutz vor Schadsoftware sind. Die eingeschleuste Hintertür ist besonders kritisch, weil sie sich nach einer unvollständigen Bereinigung erneut einrichten kann.
Entscheidend ist für betroffene Betreiber nicht nur die inzwischen installierte Plugin-Version, sondern auch der Zeitpunkt, zu dem Version 3.0.123 heruntergeladen, installiert und aktiviert wurde.
Wer im bestätigten Zeitraum eine manipulierte Version aktiviert hat, sollte seine WordPress-Installation vollständig untersuchen oder aus einer nachweislich sauberen Sicherung wiederherstellen. Das Sicherheitsupdate auf Version 3.0.124 ist notwendig, ersetzt aber keine Bereinigung.
Quellen
