Rank Math PRO gehackt: Version 3.0.123 enthielt eine Hintertür

Rund elf Stunden lang, am 15. und 16. Oktober 2026, enthielten vom Hersteller ausgelieferte Kopien von Rank Math PRO 3.0.123 Schadsoftware. Wenn du die kostenpflichtige Version nutzt, prüfe, wann diese Version auf deinen Websites angekommen ist: Wurde sie in diesem Zeitfenster aktiviert, musst du die Website als gehackt behandeln. Hier steht, was am 20. Oktober bekannt ist, nach welchen Spuren du suchen solltest und in welcher Reihenfolge du bereinigst.

Was passiert ist

Rank Math veröffentlichte die Version 3.0.123 seines PRO-Plugins am 7. Oktober 2026: ein gewöhnliches Update. Das Problem stammt von Paketen, die eine Woche später unter derselben Nummer ausgeliefert wurden.

• 14. Oktober, 19:31 Uhr UTC (21:31 Uhr in Paris): Die Domain rank1cdn.com, die der Hersteller heute zu blockieren bittet, wird laut dem RDAP-Register von Verisign registriert.
• 15. Oktober, 20:02 Uhr UTC (22:02 Uhr in Paris): Beginn des Zeitraums, in dem manipulierte Kopien von 3.0.123 verteilt werden, per Download von rankmath.com oder per Update.
• 16. Oktober, 7:12 Uhr UTC (9:12 Uhr in Paris): Ende dieses Zeitraums.
• 16. Oktober: Rank Math entfernt die betroffenen Dateien und veröffentlicht die saubere Version 3.0.124. Seine Sicherheitsmeldung geht um 20:32 Uhr UTC online; der Hersteller gibt an, die betroffenen Kunden informiert zu haben.
• 17. Oktober: Warnungen von Wordfence und Patchstack, CVSS-Wert 9,8 von 10.
• 19. Oktober: Wordfence veröffentlicht den Eintrag CVE-2026-111862 („eingebetteter bösartiger Code“, CWE-506); die Fachpresse greift die Meldung auf.

Rank Math hat nicht erklärt, wie die Dateien in sein Verteilungssystem gelangt sind, und auch nicht, wie viele Kunden eine manipulierte Kopie erhalten haben; BleepingComputer erhielt dazu keine Antwort. Kein Täter wurde genannt.

Wer betroffen ist

Nur das kostenpflichtige Plugin ist betroffen: Es wird von rankmath.com heruntergeladen und aktualisiert, nicht von wordpress.org. Das kostenlose Plugin Rank Math SEO mit mehr als 4 Millionen aktiven Installationen (wordpress.org) ist laut Hersteller nicht betroffen. Die Zahl der Installationen der PRO-Version ist nicht öffentlich.

Merkmal	Detail
Produkt	Rank Math SEO PRO (Ordner rank-math-pro)
Betroffene Version	3.0.123, nur Kopien, die vom 15. Oktober 20:02 Uhr bis 16. Oktober 7:12 Uhr UTC bezogen wurden
Saubere Version	3.0.124 (16. Oktober 2026)
Kennung	CVE-2026-111862 (CWE-506, eingebetteter bösartiger Code)
Schweregrad	9,8 von 10, kritisch (Wordfence und Patchstack)
Konto für den Angreifer nötig	Keines: Der Code kommt mit dem Plugin
Bedingung	Plugin auf der Website aktiviert
Kostenlose Version (wordpress.org)	Laut Rank Math nicht betroffen

Die Anzeige 3.0.123 beweist nichts: Eine vor dem 15. Oktober um 20:02 Uhr UTC bezogene Kopie ist sauber. Entscheidend ist nur das Datum des Downloads oder der Installation. Der Hersteller unterscheidet drei Fälle.

Deine Situation im Zeitfenster	Was Rank Math dazu sagt	Was zu tun ist
3.0.123 installiert und aktiviert	Website als kompromittiert betrachten	Wiederherstellung oder vollständige Bereinigung, dann Wechsel aller Geheimnisse
3.0.123 installiert, nie aktiviert	Keine Kompromittierung gemeldet	Dateien löschen, 3.0.124 installieren, einen Scan starten
3.0.123 heruntergeladen, weder installiert noch aktiviert	Nichts deutet auf eine Kompromittierung hin	Archiv löschen, 3.0.124 verwenden

Rank Math gibt an zu wissen, welche Konten eine manipulierte Kopie erhalten haben: Wenn du eine Nachricht bekommen hast, folge seinem Verfahren, auch wenn die Website schon auf 3.0.124 läuft.

Wie diese Hintertür funktioniert

Es ist ein Angriff über die Lieferkette: Der Angreifer schleust seinen Code in eine Software ein, die du im Vertrauen aus der offiziellen Quelle installierst. Wie Patchstack anmerkt, kann sich keine Firewall-Regel dazwischenschalten: Der Code ist Teil des Plugins.

Laut der Meldung von Rank Math, zusammengefasst von Wordfence, wird der Code mit dem Plugin aktiv. Er kann dann:

• sich in der Datenbank verankern (drei Einträge in wp_options) und bei jedem Besuch eine versteckte Hintertür neu erzeugen;
• PHP-Dateien an anderen Stellen ablegen: in wp-content/mu-plugins/, in anderen Plugins oder Themes, und eine gefälschte Core-Datei;
• .htaccess so ändern, dass .cache-Dateien als PHP ausgeführt werden;
• Administratorkonten und geplante Aufgaben anlegen, auch auf Systemebene;
• mit rank1cdn.com kommunizieren und jedes für den Server lesbare Geheimnis preisgeben: Passwörter, Datenbank, API-Schlüssel.

Genau dieser Wiederherstellungsmechanismus macht das Update unzureichend. Die Installation von 3.0.124 ersetzt den Ordner des Plugins, aber nicht die anderswo abgelegten Dateien, Konten und Aufgaben. Und eine verdächtige Datei zu löschen, bevor die Datenbankeinträge neutralisiert sind, kann nutzlos sein: Beim nächsten Besuch ist sie wieder da.

Kompromittierungsindikatoren: deine Website prüfen

Die folgenden Indikatoren hat Rank Math veröffentlicht, Wordfence hat sie übernommen. Ihr Vorhandensein muss untersucht werden; ihr Fehlen beweist, so warnt Wordfence, für sich allein nicht, dass die Website sauber ist.

In WordPress

• Einträge _uf6qdn2hmm, t8krdk990phb oder _np5pvf754c in der Tabelle wp_options.
• Unbekannte Administratoren, deren Benutzername mit wpsupport_ beginnt oder deren Adresse auf @wp-mail.net endet.
• Eine Datei wp-includes/class-wp-cache-util.php: Sie ist keine WordPress-Datei.
• Unerwartete PHP-Dateien in wp-content/mu-plugins/, in den Ordnern anderer Plugins, in inc/, includes/ und lib/ von nicht mitgelieferten Themes, im Ordner includes/ von Rank Math und in uploads/.
• PHP-Code, der base64_decode mit XOR-Schleifen kombiniert, den Schlüssel xmmqhn enthält, proc_open aufruft oder mit dem PHP-FPM-Socket kommuniziert.

Mit WP-CLI, vom Stammverzeichnis der Website aus:

wp plugin list --fields=name,version,status
wp db query "SELECT option_name FROM $(wp db prefix)options WHERE option_name IN ('_uf6qdn2hmm','t8krdk990phb','_np5pvf754c')"
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list
grep -rl "xmmqhn" wp-content wp-includes
find wp-content -name "*.php" -newermt "2026-10-15 20:00"

Der Befehl wp core verify-checksums meldet überzählige Dateien in wp-includes, darunter die gefälschte Core-Datei. Das Datum beim find folgt der Zeitzone des Servers. wp plugin verify-checksums gilt nur für Plugins, die auf wordpress.org veröffentlicht sind: Für Rank Math PRO gibt es keine öffentlichen Prüfsummen, du musst es mit einer sauberen Kopie aus deinem Konto vergleichen.

Auf dem Server

• Ausgehende Verbindungen zu rank1cdn.com (Protokolle der Firewall oder des Hosters).
• Regeln in einer .htaccess, im Stammverzeichnis oder in einem Unterordner, die .cache-Dateien als PHP ausführen lassen, und .cache-Dateien mit PHP-Inhalt.
• Geplante Aufgaben des Webserver-Benutzers mit der Markierung #ms6v46 (crontab -l), Crontabs anderer Benutzer, in authorized_keys hinzugefügte SSH-Schlüssel, unbekannte Prozesse.

Was du jetzt tun solltest

Wurde eine manipulierte Kopie aktiviert, empfiehlt Rank Math zuerst, Dateien und Datenbank aus einem Backup von vor dem 15. Oktober 2026, 20:02 Uhr UTC wiederherzustellen, dann die Website zu scannen, alle Zugangsdaten zu ändern und erst danach 3.0.124 zu installieren. Ohne sauberes Backup folgt die manuelle Bereinigung einer genauen Reihenfolge:

1. Den Ordner wp-content/plugins/rank-math-pro vollständig löschen (Deaktivieren reicht nicht).
2. Die drei oben genannten Einträge aus wp_options löschen, zum Beispiel mit wp option delete _np5pvf754c.
3. Ausgehende Verbindungen zu rank1cdn.com blockieren, wenn Hoster oder Firewall das erlauben.
4. Erst dann die übrigen oben aufgeführten Dateien, Konten und Aufgaben löschen und WordPress, Plugins und Themes aus sicheren Quellen neu installieren.
5. Alle Geheimnisse ändern, auch nach einer Wiederherstellung: WordPress-Passwörter, Datenbank-Zugangsdaten und Sicherheitsschlüssel in wp-config.php (wp config shuffle-salts), Anwendungspasswörter, API-Schlüssel (Zahlung, E-Mail-Versand), Zugänge zum Hosting, FTP, SFTP und SSH, dann die Zwei-Faktor-Authentifizierung der Administratoren überprüfen.
6. 3.0.124 installieren, indem du dich direkt bei rankmath.com anmeldest: Der Hersteller verschickt nie Download-Links per E-Mail.
7. Die Website überwachen: Tauchen gelöschte Dateien wieder auf, ist die Bereinigung unvollständig.

Bewahre zuerst eine Kopie der kompromittierten Website für die Analyse auf. Unsere Anleitung zur Bereinigung einer gehackten WordPress-Website beschreibt jeden Schritt; überlasse die Arbeit bei Bedarf deinem Hoster oder einem Spezialisten.

Das Risiko beim nächsten Mal verringern

Smart Slider 3 Pro im April und die Pro-Plugins von ShapedPlugin im Juni wurden bereits über den Update-Kanal ihres Herstellers manipuliert (siehe diese Angriffe über die Lieferkette). Ein paar Gewohnheiten begrenzen den Schaden:

• Updates: Lass Sicherheitspatches automatisch laufen, aber bei einer bloßen Wartungsversion eines Premium-Plugins lassen ein paar Tage Verzögerung Zeit, damit ein Vorfall entdeckt werden kann (siehe unsere Strategien für automatische Updates).
• Beobachtung: Verfolge die Meldungen der Hersteller deiner kostenpflichtigen Plugins und die Warnungen zu Sicherheitslücken für alle deine Websites.
• Minimale Rechte: wenige Administratoren, alle namentlich, damit ein Eindringling schnell auffällt (Rollen und minimale Rechte).
• Backups: täglich, außerhalb des Servers, über mehrere Wochen; das ist hier die empfohlene Wiederherstellung.
• Firewall: Eine WAF und Virtual Patching schützen vor Lücken, die von außen ausgenutzt werden, nicht vor Code, der in einem Plugin geliefert wird; eine Filterung ausgehender Verbindungen kann dagegen den Kanal zu einer Domain wie rank1cdn.com kappen.

WP Masquerade Pro hilft bei einem Teil dieser Punkte, mit Grenzen. Seine Warnungen zu Sicherheitslücken vergleichen täglich die installierten Versionen mit der Datenbank WPVulnerability.net und benachrichtigen per E-Mail, aber nur für Plugins und Themes von wordpress.org: Rank Math PRO wird nicht geprüft, und eine Hintertür wird erst gemeldet, wenn sie in einer Datenbank steht. Die Integritätsprüfung überwacht nur den WordPress-Core; eine unbekannte PHP-Datei wie wp-includes/class-wp-cache-util.php hätte sie dagegen gemeldet.

Das Aktivitätsprotokoll zeichnet angelegte Konten, geänderte Rollen und installierte oder aktualisierte Plugins auf, was hilft, die Installation von 3.0.123 zu datieren; es beginnt erst mit seiner Aktivierung und sieht nicht, was WordPress umgeht. Schließlich bündelt der Mitgliederbereich die ausstehenden Updates und verwundbaren Websites all deiner Websites. WP Masquerade warnt: Es behebt nichts und ersetzt weder eine Firewall noch ein Backup. Für den Kontext lies auch die vollständige Geschichte der Sicherheitslücken in Rank Math.

Quellen

• Rank Math: Changelog, Rank Math PRO v3.0.124 (16. Oktober 2026) (externer Link, öffnet in neuem Tab)
• CVE.org: CVE-2026-111862, Rank Math SEO PRO 3.0.123, Unauthenticated Embedded Malicious Code (19. Oktober 2026) (externer Link, öffnet in neuem Tab)
• WordPress.org: Rank Math SEO (kostenloses Plugin) (externer Link, öffnet in neuem Tab)
• WP-CLI: wp core verify-checksums (externer Link, öffnet in neuem Tab)

Weitere herangezogene Quellen: offizielle Herstellerseiten, Berichte der Fachpresse, Datenbanken von Wordfence und Patchstack.