Rank Math PRO 3.0.123: Malware in offiziellen Update-Paketen

Falls du Rank Math PRO zwischen dem 15. und 16. Oktober 2026 heruntergeladen oder aktualisiert hast, solltest du den Zeitpunkt prüfen. Ein Teil der offiziellen Pakete der Version 3.0.123 enthielt Malware. Sobald du ein betroffenes Paket aktiviert hast, musst du deine Website als kompromittiert behandeln – auch dann, wenn inzwischen eine andere Version läuft.

Die saubere Version 3.0.124 ersetzt das manipulierte Plugin-Paket. Sie entfernt aber keine Dateien, Administratorkonten oder Cron-Jobs, die die Malware bereits an anderer Stelle angelegt hat. Ein Update allein reicht deshalb bei einer kompromittierten Website nicht aus.

Was bei Rank Math PRO passiert ist

Der Vorfall ist ein Supply-Chain-Angriff: Angreifer verbreiten Schadcode über einen regulären Lieferweg für Software. Hier steckte die Malware direkt in offiziellen Download- und Update-Paketen des Plugins. Es handelt sich also nicht um einen gewöhnlichen Programmierfehler, den Angreifer nachträglich ausnutzen.

Das betroffene Zeitfenster reicht vom 15. Oktober 2026, 20:02 UTC, bis zum 16. Oktober 2026, 07:12 UTC. In mitteleuropäischer Sommerzeit entspricht das 15. Oktober, 22:02 Uhr, bis 16. Oktober, 09:12 Uhr MESZ – insgesamt gut elf Stunden. Rank Math entfernte die betroffenen Pakete und veröffentlichte die saubere Version 3.0.124.

• Betroffenes Produkt: das PRO-Add-on mit dem Plugin-Slug seo-by-rank-math-pro. Das kostenlose Rank-Math-Plugin nennt die Sicherheitswarnung nicht als betroffen.
• Betroffene Version: bestimmte Pakete von 3.0.123 aus dem genannten Zeitfenster. Die Versionsnummer allein beweist keine Kompromittierung.
• Saubere Version: 3.0.124.
• Kennung: CVE-2026-111862 im System Common Vulnerabilities and Exposures (CVE).
• Schweregrad: 9,8 von 10 Punkten im Common Vulnerability Scoring System (CVSS), Einstufung „kritisch“.

Die Malware startet beim Aktivieren des Plugins und kann dauerhaften Zugriff einrichten. Sie kommuniziert mit rank1cdn[.]com und kann bei Seitenaufrufen versteckte Backdoors erneut anlegen. Als Backdoor bezeichnet man einen versteckten Zugang, der reguläre Zugriffskontrollen umgeht.

Als potenziell offengelegt gelten WordPress-Zugangsdaten, Datenbank-Zugangsdaten, API-Schlüssel und andere Geheimnisse, die der Webserver lesen konnte. Wie die Täter die Pakete manipulierten, hat Rank Math nicht veröffentlicht. Angaben zu den Angreifern oder zur Zahl kompromittierter Websites liegen ebenfalls nicht vor.

Welcher der drei Fälle trifft auf deine Website zu?

Öffne im WordPress-Adminbereich Plugins und prüfe die installierte PRO-Version. Kläre zusätzlich, wann du das Paket bezogen hast und ob es jemals aktiv war. Rank Math kann anhand eigener Download-Aufzeichnungen betroffene Konten zuordnen und benachrichtigt diese.

1. Betroffenes Paket installiert und aktiviert: Behandle die Website als kompromittiert. Stelle ein sauberes Backup wieder her oder führe die manuelle Bereinigung vollständig durch.
2. Betroffenes Paket installiert, aber nie aktiviert: Lösche die betroffenen Plugin-Dateien. Installiere anschließend die saubere Version 3.0.124 aus deinem Rank-Math-Konto und starte vorsorglich einen Sicherheits-Scan.
3. Betroffenes Paket nur heruntergeladen, weder installiert noch aktiviert: Allein aus diesem Vorfall ergibt sich kein Hinweis auf eine kompromittierte Website. Falls du nicht sicher weißt, ob du das Paket installiert oder aktiviert hast, kontaktiere den Rank-Math-Support.

Schnelle Bestandsaufnahme mit WP-CLI

Mit WP-CLI, der Kommandozeilenschnittstelle für WordPress, kannst du Version, Benutzerkonten und einige bekannte Spuren prüfen. Führe die folgenden Befehle im Verzeichnis deiner WordPress-Installation aus. Sie dienen der Bestandsaufnahme, nicht der vollständigen Bereinigung.

# Installierte PRO-Version prüfen
wp plugin get seo-by-rank-math-pro --field=version

# Bekannte verdächtige Optionen abfragen
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Administratorkonten mit Registrierungsdatum auflisten
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# WordPress-Core mit offiziellen Prüfsummen vergleichen
wp core verify-checksums

# Geplante WordPress-Ereignisse auflisten
wp cron event list

# Bekannte gefälschte Core-Datei suchen
ls -la wp-includes/class-wp-cache-util.php

# Bekannten Schlüssel in wp-content suchen
 grep -RIn --include='*.php' 'xmmqhn' wp-content/

# www-data gegebenenfalls durch den tatsächlichen Webserver-Benutzer ersetzen.
# Für fremde Benutzer-Crontabs brauchst du passende Systemrechte.
crontab -l -u www-data | grep 'ms6v46'

# Installierte PRO-Version prüfen
wp plugin get seo-by-rank-math-pro --field=version

# Bekannte verdächtige Optionen abfragen
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Administratorkonten mit Registrierungsdatum auflisten
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# WordPress-Core mit offiziellen Prüfsummen vergleichen
wp core verify-checksums

# Geplante WordPress-Ereignisse auflisten
wp cron event list

# Bekannte gefälschte Core-Datei suchen
ls -la wp-includes/class-wp-cache-util.php

# Bekannten Schlüssel in wp-content suchen
 grep -RIn --include='*.php' 'xmmqhn' wp-content/

# www-data gegebenenfalls durch den tatsächlichen Webserver-Benutzer ersetzen.
# Für fremde Benutzer-Crontabs brauchst du passende Systemrechte.
crontab -l -u www-data | grep 'ms6v46'

Fehlende Treffer schließen eine Kompromittierung nicht aus. Einzelne Code-Funktionen wie base64_decode beweisen umgekehrt noch keinen Befall. Entscheidend sind der Zusammenhang, die Herkunft der Dateien und die weiteren Spuren.

Weg 1: Website und Datenbank aus einem sauberen Backup wiederherstellen

Ein sauberes Backup vor Beginn des Vorfalls ist der empfohlene Weg. Es muss vor dem 15. Oktober 2026 um 20:02 UTC entstanden sein, also vor 22:02 MESZ beziehungsweise 16:02 EDT am selben Tag. In indischer Standardzeit entspricht dieser Grenzzeitpunkt dem 16. Oktober um 01:32 IST.

1. Website und Datenbank wiederherstellen: Verwende ein sauberes Backup, das vor Beginn des betroffenen Zeitfensters entstand.
2. Sicherheits-Scan ausführen: Prüfe die wiederhergestellte Website mit einem etablierten Werkzeug wie Wordfence oder Sucuri.
3. Alle relevanten Zugangsdaten und Geheimnisse ersetzen: Gehe davon aus, dass die kompromittierte Website sie offengelegt haben könnte. Arbeite die vollständige Liste zur Rotation weiter unten ab.
4. Sauberes PRO-Paket installieren: Lade Version 3.0.124 aus deinem Rank-Math-Konto herunter und installiere sie auf der wiederhergestellten Website.

Falls du bei der Wiederherstellung unsicher bist, bitte deinen Hosting-Anbieter um Hilfe. Ein Backup setzt Dateien und Datenbank zurück, macht aber bereits abgeflossene Zugangsdaten nicht wieder geheim.

Weg 2: Die Website manuell bereinigen

Ohne geeignetes Backup musst du die Malware entfernen und weitere Änderungen untersuchen. Halte dabei die Reihenfolge ein: Zuerst stoppst du den Mechanismus, der Backdoors erneut anlegt. Erst danach entfernst du die übrigen Spuren.

Schritt 1: Den Mechanismus zum erneuten Anlegen stoppen

Entferne zuerst das betroffene Plugin vollständig und lösche die bekannten Datenbankeinträge. Eine bloße Deaktivierung genügt nicht. Schließe die folgenden Maßnahmen ab, bevor du mit Schritt 2 fortfährst.

1. Den gesamten PRO-Plugin-Ordner löschen: Suche im Dateimanager deines Hosters oder per FTP den Ordner rank-math-pro und entferne ihn vollständig.
2. Schädliche Datenbankeinträge entfernen: Öffne die WordPress-Datenbank beispielsweise mit phpMyAdmin. Suche in wp_options nach Einträgen, deren option_name exakt _uf6qdn2hmm, t8krdk990phb oder _np5pvf754c lautet, und lösche passende Einträge. Falls deine Installation ein anderes Tabellenpräfix nutzt, prüfe die entsprechende Options-Tabelle.
3. Ausgehende Verbindung blockieren, sofern möglich: Sperre rank1cdn.com beim Hosting-Anbieter oder in einer Firewall, die ausgehende Verbindungen filtern kann.

Schritt 2: Weitere Dateien, Konten und Serveränderungen untersuchen

Die Angreifer können außerhalb des PRO-Ordners weitere Zugänge hinterlassen haben. Prüfe deshalb jeden der folgenden Bereiche. Beschränke dich nicht auf den ersten Fund.

Versteckte Backdoor-Dateien

Suche nach verdächtigen PHP-Dateien an den folgenden Stellen. Achte besonders auf base64_decode zusammen mit XOR-Schleifen, auf den Schlüssel xmmqhn, auf proc_open und auf Code für PHP-FPM-Sockets. PHP-FPM ist ein Prozessmanager für PHP; solche Socket-Zugriffe sind hier ein Prüfhinweis, aber isoliert kein Beweis für Malware.

• wp-content/mu-plugins/, das Verzeichnis für Must-use-Plugins, die WordPress automatisch lädt.
• Verzeichnisse anderer Plugins.
• Die Ordner inc/, includes/ und lib/ von Themes, die nicht zu den WordPress-Standard-Themes gehören.
• Der Ordner includes/ des Rank-Math-Plugins.

Ein Sicherheits-Plugin oder dein Hosting-Anbieter kann dich bei dieser Suche unterstützen. Lass verdächtige Dateien prüfen und entferne bestätigten Schadcode.

Unbekannte Administratorkonten

Kontrolliere alle WordPress-Konten mit Administratorrechten. Verdächtig sind insbesondere Benutzernamen mit dem Präfix wpsupport_ und anschließenden Zufallszeichen sowie E-Mail-Adressen mit der Endung @wp-mail[.]net. Entferne Konten, sobald du sie als bösartig oder unberechtigt bestätigt hast.

wp user list --role=administrator

wp user list --role=administrator

Gefälschte WordPress-Core-Datei

Die Datei wp-includes/class-wp-cache-util.php gehört nicht zum legitimen WordPress-Core. Entferne sie, falls sie vorhanden ist, und prüfe danach die Core-Prüfsummen. Installiere die Core-Dateien zusätzlich aus einer offiziellen Quelle neu, um weitere manipulierte Core-Dateien zu ersetzen.

wp core verify-checksums

wp core verify-checksums

Manipulierte .htaccess und verdächtige .cache-Dateien

Untersuche die .htaccess im Hauptverzeichnis der Website und in allen Unterverzeichnissen. Suche nach Regeln, die Dateien mit der Endung .cache als PHP ausführen lassen. Durchsuche außerdem den Server nach .cache-Dateien mit PHP-Code und untersuche verdächtige Funde.

System-Cron-Jobs und geplante WordPress-Ereignisse

Prüfe die Crontab des Webserver-Benutzers auf Einträge mit der Markierung #ms6v46. Cron-Jobs sind zeitgesteuerte Aufgaben auf dem Server; daneben verwaltet WordPress eigene geplante Ereignisse. Liste auch diese auf und entferne Aufgaben, die du als schädlich bestätigt hast.

wp cron event list

wp cron event list

Andere Plugins, Themes und Uploads

Installiere Plugins und Themes aus ihren offiziellen Quellen neu. Vergleiche vorhandene Dateien nach Möglichkeit mit sauberen Kopien. Prüfe das Verzeichnis uploads/ auf PHP-Dateien, die dort normalerweise nicht liegen sollten, und untersuche unerwartete oder veränderte Dateien vor dem Löschen.

Änderungen außerhalb von WordPress

Der mögliche Zugriff endet nicht an der Grenze deiner WordPress-Installation. Untersuche auch die folgenden Bereiche des Servers. Falls dir beim Shared Hosting die nötigen Rechte fehlen, muss dein Hosting-Anbieter diese Prüfung übernehmen.

• authorized_keys-Dateien für SSH-Zugänge.
• Crontabs anderer Systembenutzer.
• Laufende Prozesse.
• Verzeichnisse außerhalb der Website, in die der Webserver-Benutzer schreiben darf.

Schritt 3: Zugangsdaten und Geheimnisse vollständig ersetzen

Behandle alle Geheimnisse als potenziell offengelegt, auf die die kompromittierte Website zugreifen konnte. Ersetze sie nach der Bereinigung durch neue, sichere Werte. Dieser Schritt ist auch nach einer Wiederherstellung aus einem Backup zwingend nötig.

• Passwörter: Ändere die Passwörter der WordPress-Konten und alle weiteren relevanten Zugangsdaten, die der kompromittierten Website zugänglich waren.
• Datenbank: Ersetze den Datenbank-Benutzernamen und das Passwort, die du in wp-config.php hinterlegt hast.
• WordPress-Sicherheitsschlüssel und Salts: Erzeuge die Werte in wp-config.php neu. Diese geheimen Werte sichern unter anderem die WordPress-Anmelde-Cookies ab.
• API-Schlüssel und Dienstzugänge: Ersetze Schlüssel für Zahlungsanbieter, Zugangsdaten für den SMTP-Mailversand, weitere API-Schlüssel und sonstige Geheimnisse aus Website-Einstellungen oder Konfigurationsdateien.
• Hosting und Serverzugänge: Ändere die Zugangsdaten für das Hosting-Control-Panel, FTP/SFTP und SSH. Prüfe auch Geheimnisse in Umgebungsvariablen.
• Zwei-Faktor-Authentifizierung: Prüfe den zweiten Anmeldefaktor aller Administratorkonten und setze ihn bei Bedarf zurück.

Trage die neuen Werte überall ein, wo die Website oder angebundene Dienste sie benötigen. Falls du den Umfang nicht sicher bestimmen kannst, gehe die erreichbaren Geheimnisse mit deinem Hoster oder einer Sicherheitsfachkraft durch.

Schritt 4: Die bereinigte Website überprüfen

Eine abgeschlossene Löschaktion beweist noch nicht, dass alle Zugänge verschwunden sind. Prüfe die Dateien erneut und beobachte die Website in den folgenden Tagen. Achte besonders darauf, ob entfernte Dateien zurückkehren.

1. Sicherheits-Scan starten: Verwende ein etabliertes Werkzeug wie Wordfence oder Sucuri.
2. WordPress-Core prüfen: Vergleiche die Core-Dateien mit den offiziellen Prüfsummen.
3. Plugin-Dateien prüfen: Vergleiche installierte Plugins mit ihren Prüfsummen, soweit diese verfügbar sind. Gerade Premium-Plugins bieten diese Möglichkeit nicht immer; nutze dann eine saubere Kopie aus der offiziellen Quelle.
4. Ausgehende Verbindungen beobachten: Prüfe in den folgenden Tagen, ob der Webserver verdächtige Verbindungen aufbaut oder andere ungewöhnliche Aktivitäten zeigt.
5. Gelöschte Dateien erneut kontrollieren: Stelle fest, ob zuvor entfernte Dateien wieder auftauchen.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Wenn Dateien zurückkehren oder ungewöhnliche Aktivitäten anhalten, ist die Bereinigung möglicherweise unvollständig. Gehe die Bereiche aus Schritt 2 erneut durch und ziehe deinen Hosting-Anbieter oder eine Sicherheitsfachkraft hinzu.

Bekannte Indikatoren im Überblick

Die folgenden Kompromittierungsindikatoren, auch Indicators of Compromise (IOC), helfen dir beim gezielten Suchen. Manche sind konkrete Artefakte dieses Vorfalls, andere nur verdächtige Code-Muster. Bewerte Funde deshalb immer im Zusammenhang.

• Kommunikationsziel: rank1cdn[.]com; die Schreibweise mit eckigen Klammern verhindert einen versehentlichen Aufruf.
• Options-Namen: _uf6qdn2hmm, t8krdk990phb und _np5pvf754c.
• Schlüssel im PHP-Code: xmmqhn.
• Verdächtige Code-Muster: base64_decode zusammen mit XOR-Schleifen, proc_open und PHP-FPM-Socket-Code.
• Benutzernamen: wpsupport_ mit nachfolgenden Zufallszeichen.
• E-Mail-Domain verdächtiger Konten: @wp-mail[.]net.
• Gefälschte Core-Datei: wp-includes/class-wp-cache-util.php.
• Markierung in System-Cron-Jobs: #ms6v46.
• Weitere Dateispuren: .cache-Dateien mit PHP-Code und .htaccess-Regeln, die deren Ausführung als PHP erlauben.

Die saubere PRO-Version sicher beziehen

Installiere Rank Math PRO 3.0.124, sobald du die für deinen Fall nötigen Schritte abgeschlossen hast. Rufe dafür rankmath.com direkt im Browser auf, melde dich an und lade das Paket im Download-Bereich deines Kontos herunter. Falls die Anmeldung nicht klappt, musst du möglicherweise dein Kontopasswort zurücksetzen.

Beziehe das Paket nicht von inoffiziellen Weiterverteilern oder GPL-Download-Portalen. Solche Angebote können weiterhin Kopien von 3.0.123 ausliefern. Verwende für die saubere Version dein Herstellerkonto.

Wenn du Hilfe bei der Einordnung oder den nächsten Schritten brauchst, öffne ein Support-Ticket bei Rank Math oder schreibe an support@rankmath.com. Nenne deine PRO-Version und beschreibe, welche Schritte du bereits abgeschlossen hast.

Was du für den nächsten Vorfall vorbereiten solltest

Auch ein vertrauenswürdiger kommerzieller Anbieter kann zum Verteiler von Schadcode werden. Automatische Updates sind deshalb gerade bei Premium-Plugins zweischneidig: Sie verteilen Sicherheitskorrekturen schnell, können aber auch ein manipuliertes offizielles Paket übernehmen. Entscheide bewusst, wie dein Update-Prozess dieses Risiko behandelt.

• Externe Backups mit ausreichender Aufbewahrungsdauer vorhalten: Du brauchst einen sauberen Stand vor Beginn eines Vorfalls, nicht nur die jüngste Sicherung.
• Ausgehende Verbindungen des Webservers überwachen und bei Bedarf einschränken: Berücksichtige nicht nur eingehende Angriffe.
• Prüfsummen kontrollieren: Nutze offizielle Prüfsummen und saubere Herstellerpakete, um unerwartete Dateiänderungen zu erkennen.
• Downloads direkt beim Hersteller beziehen: Vermeide inoffizielle Paketquellen und prüfe vermeintliche Sicherheits-E-Mails besonders sorgfältig.

Prüfe jetzt zuerst deinen Download- und Aktivierungszeitpunkt. Falls das betroffene Paket aktiv war, wähle den Backup-Weg oder stoppe vor der manuellen Suche den Mechanismus zum erneuten Anlegen der Backdoors. Ersetze anschließend die erreichbaren Geheimnisse und kontrolliere in den nächsten Tagen, ob die Website sauber bleibt.