{"id":288,"date":"2026-10-17T11:03:42","date_gmt":"2026-10-17T09:03:42","guid":{"rendered":"https:\/\/helloblog.io\/de\/rank-math-pro-3-0-123-malware-offizielle-update-pakete\/"},"modified":"2026-10-17T11:03:42","modified_gmt":"2026-10-17T09:03:42","slug":"rank-math-pro-3-0-123-malware-offizielle-update-pakete","status":"publish","type":"post","link":"https:\/\/helloblog.io\/de\/rank-math-pro-3-0-123-malware-offizielle-update-pakete\/","title":{"rendered":"Rank Math PRO 3.0.123: Malware in offiziellen Update-Paketen"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Falls du Rank Math PRO zwischen dem 15. und 16. Oktober 2026 heruntergeladen oder aktualisiert hast, solltest du den Zeitpunkt pr\u00fcfen. Ein Teil der offiziellen Pakete der Version <strong>3.0.123<\/strong> enthielt Malware. Sobald du ein betroffenes Paket aktiviert hast, musst du deine Website als kompromittiert behandeln \u2013 auch dann, wenn inzwischen eine andere Version l\u00e4uft.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die saubere Version <strong>3.0.124<\/strong> ersetzt das manipulierte Plugin-Paket. Sie entfernt aber keine Dateien, Administratorkonten oder Cron-Jobs, die die Malware bereits an anderer Stelle angelegt hat. Ein Update allein reicht deshalb bei einer kompromittierten Website nicht aus.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was bei Rank Math PRO passiert ist<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der Vorfall ist ein <strong>Supply-Chain-Angriff<\/strong>: Angreifer verbreiten Schadcode \u00fcber einen regul\u00e4ren Lieferweg f\u00fcr Software. Hier steckte die Malware direkt in offiziellen Download- und Update-Paketen des Plugins. Es handelt sich also nicht um einen gew\u00f6hnlichen Programmierfehler, den Angreifer nachtr\u00e4glich ausnutzen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das betroffene Zeitfenster reicht vom <strong>15. Oktober 2026, 20:02 UTC, bis zum 16. Oktober 2026, 07:12 UTC<\/strong>. In mitteleurop\u00e4ischer Sommerzeit entspricht das <strong>15. Oktober, 22:02 Uhr, bis 16. Oktober, 09:12 Uhr MESZ<\/strong> \u2013 insgesamt gut elf Stunden. Rank Math entfernte die betroffenen Pakete und ver\u00f6ffentlichte die saubere Version 3.0.124.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Betroffenes Produkt:<\/strong> das PRO-Add-on mit dem Plugin-Slug <code>seo-by-rank-math-pro<\/code>. Das kostenlose Rank-Math-Plugin nennt die Sicherheitswarnung nicht als betroffen.<\/li>\n\n\n<li><strong>Betroffene Version:<\/strong> bestimmte Pakete von 3.0.123 aus dem genannten Zeitfenster. Die Versionsnummer allein beweist keine Kompromittierung.<\/li>\n\n\n<li><strong>Saubere Version:<\/strong> 3.0.124.<\/li>\n\n\n<li><strong>Kennung:<\/strong> CVE-2026-111862 im System Common Vulnerabilities and Exposures (CVE).<\/li>\n\n\n<li><strong>Schweregrad:<\/strong> 9,8 von 10 Punkten im Common Vulnerability Scoring System (CVSS), Einstufung \u201ekritisch\u201c.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die Malware startet beim Aktivieren des Plugins und kann dauerhaften Zugriff einrichten. Sie kommuniziert mit <code>rank1cdn[.]com<\/code> und kann bei Seitenaufrufen versteckte Backdoors erneut anlegen. Als Backdoor bezeichnet man einen versteckten Zugang, der regul\u00e4re Zugriffskontrollen umgeht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Als potenziell offengelegt gelten WordPress-Zugangsdaten, Datenbank-Zugangsdaten, API-Schl\u00fcssel und andere Geheimnisse, die der Webserver lesen konnte. Wie die T\u00e4ter die Pakete manipulierten, hat Rank Math nicht ver\u00f6ffentlicht. Angaben zu den Angreifern oder zur Zahl kompromittierter Websites liegen ebenfalls nicht vor.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Welcher der drei F\u00e4lle trifft auf deine Website zu?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00d6ffne im WordPress-Adminbereich <strong>Plugins<\/strong> und pr\u00fcfe die installierte PRO-Version. Kl\u00e4re zus\u00e4tzlich, wann du das Paket bezogen hast und ob es jemals aktiv war. Rank Math kann anhand eigener Download-Aufzeichnungen betroffene Konten zuordnen und benachrichtigt diese.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Betroffenes Paket installiert und aktiviert:<\/strong> Behandle die Website als kompromittiert. Stelle ein sauberes Backup wieder her oder f\u00fchre die manuelle Bereinigung vollst\u00e4ndig durch.<\/li>\n\n\n<li><strong>Betroffenes Paket installiert, aber nie aktiviert:<\/strong> L\u00f6sche die betroffenen Plugin-Dateien. Installiere anschlie\u00dfend die saubere Version 3.0.124 aus deinem Rank-Math-Konto und starte vorsorglich einen Sicherheits-Scan.<\/li>\n\n\n<li><strong>Betroffenes Paket nur heruntergeladen, weder installiert noch aktiviert:<\/strong> Allein aus diesem Vorfall ergibt sich kein Hinweis auf eine kompromittierte Website. Falls du nicht sicher wei\u00dft, ob du das Paket installiert oder aktiviert hast, kontaktiere den <a href=\"https:\/\/rankmath.com\/support\/\">Rank-Math-Support<\/a>.<\/li>\n\n<\/ol>\n\n\n\n<div class=\"wp-block-group callout callout-warning is-style-warning is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">Eine neuere Version ist keine Entwarnung<\/h4>\n\n\n<p class=\"wp-block-paragraph\">Wenn Rank Math dich \u00fcber einen betroffenen Download informiert hat, f\u00fchre die f\u00fcr deinen Fall passenden Schritte aus. Das gilt auch, wenn deine Website mittlerweile eine andere Plugin-Version verwendet.<\/p>\n\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Schnelle Bestandsaufnahme mit WP-CLI<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Mit WP-CLI, der Kommandozeilenschnittstelle f\u00fcr WordPress, kannst du Version, Benutzerkonten und einige bekannte Spuren pr\u00fcfen. F\u00fchre die folgenden Befehle im Verzeichnis deiner WordPress-Installation aus. Sie dienen der Bestandsaufnahme, nicht der vollst\u00e4ndigen Bereinigung.<\/p>\n\n\n\n<div class=\"wp-block-kevinbatdorf-code-block-pro\" data-code-block-pro-font-family=\"Code-Pro-JetBrains-Mono\" style=\"font-size:.875rem;font-family:Code-Pro-JetBrains-Mono,ui-monospace,SFMono-Regular,Menlo,Monaco,Consolas,monospace;line-height:1.25rem;--cbp-tab-width:2;tab-size:var(--cbp-tab-width, 2)\"><span style=\"display:block;padding:16px 0 0 16px;margin-bottom:-1px;width:100%;text-align:left;background-color:#24292e\"><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"54\" height=\"14\" viewBox=\"0 0 54 14\"><g fill=\"none\" fill-rule=\"evenodd\" transform=\"translate(1 1)\"><circle cx=\"6\" cy=\"6\" r=\"6\" fill=\"#FF5F56\" stroke=\"#E0443E\" stroke-width=\".5\"><\/circle><circle cx=\"26\" cy=\"6\" r=\"6\" fill=\"#FFBD2E\" stroke=\"#DEA123\" stroke-width=\".5\"><\/circle><circle cx=\"46\" cy=\"6\" r=\"6\" fill=\"#27C93F\" stroke=\"#1AAB29\" stroke-width=\".5\"><\/circle><\/g><\/svg><\/span><span role=\"button\" tabindex=\"0\" style=\"color:#e1e4e8;display:none\" aria-label=\"Copy\" class=\"code-block-pro-copy-button\"><pre class=\"code-block-pro-copy-button-pre\" aria-hidden=\"true\"><textarea class=\"code-block-pro-copy-button-textarea\" tabindex=\"-1\" aria-hidden=\"true\" readonly># Installierte PRO-Version pr\u00fcfen\nwp plugin get seo-by-rank-math-pro --field=version\n\n# Bekannte verd\u00e4chtige Optionen abfragen\nwp option get _uf6qdn2hmm\nwp option get t8krdk990phb\nwp option get _np5pvf754c\n\n# Administratorkonten mit Registrierungsdatum auflisten\nwp user list --role=administrator --fields=ID,user_login,user_email,user_registered\n\n# WordPress-Core mit offiziellen Pr\u00fcfsummen vergleichen\nwp core verify-checksums\n\n# Geplante WordPress-Ereignisse auflisten\nwp cron event list\n\n# Bekannte gef\u00e4lschte Core-Datei suchen\nls -la wp-includes\/class-wp-cache-util.php\n\n# Bekannten Schl\u00fcssel in wp-content suchen\n grep -RIn --include='*.php' 'xmmqhn' wp-content\/\n\n# www-data gegebenenfalls durch den tats\u00e4chlichen Webserver-Benutzer ersetzen.\n# F\u00fcr fremde Benutzer-Crontabs brauchst du passende Systemrechte.\ncrontab -l -u www-data | grep 'ms6v46'\n<\/textarea><\/pre><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"width:24px;height:24px\" fill=\"none\" viewBox=\"0 0 24 24\" stroke=\"currentColor\" stroke-width=\"2\"><path class=\"with-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2m-6 9l2 2 4-4\"><\/path><path class=\"without-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2\"><\/path><\/svg><\/span><pre class=\"shiki github-dark\" style=\"background-color:#24292e;color:#e1e4e8\" tabindex=\"0\"><code><span class=\"line\"><span style=\"color:#6A737D\"># Installierte PRO-Version pr\u00fcfen<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> plugin<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> seo-by-rank-math-pro<\/span><span style=\"color:#79B8FF\"> --field=version<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Bekannte verd\u00e4chtige Optionen abfragen<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> option<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> _uf6qdn2hmm<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> option<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> t8krdk990phb<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> option<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> _np5pvf754c<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Administratorkonten mit Registrierungsdatum auflisten<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> user<\/span><span style=\"color:#9ECBFF\"> list<\/span><span style=\"color:#79B8FF\"> --role=administrator<\/span><span style=\"color:#79B8FF\"> --fields=ID,user_login,user_email,user_registered<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># WordPress-Core mit offiziellen Pr\u00fcfsummen vergleichen<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> core<\/span><span style=\"color:#9ECBFF\"> verify-checksums<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Geplante WordPress-Ereignisse auflisten<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> cron<\/span><span style=\"color:#9ECBFF\"> event<\/span><span style=\"color:#9ECBFF\"> list<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Bekannte gef\u00e4lschte Core-Datei suchen<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">ls<\/span><span style=\"color:#79B8FF\"> -la<\/span><span style=\"color:#9ECBFF\"> wp-includes\/class-wp-cache-util.php<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Bekannten Schl\u00fcssel in wp-content suchen<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\"> grep<\/span><span style=\"color:#79B8FF\"> -RIn<\/span><span style=\"color:#79B8FF\"> --include=<\/span><span style=\"color:#9ECBFF\">'*.php'<\/span><span style=\"color:#9ECBFF\"> 'xmmqhn'<\/span><span style=\"color:#9ECBFF\"> wp-content\/<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># www-data gegebenenfalls durch den tats\u00e4chlichen Webserver-Benutzer ersetzen.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># F\u00fcr fremde Benutzer-Crontabs brauchst du passende Systemrechte.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">crontab<\/span><span style=\"color:#79B8FF\"> -l<\/span><span style=\"color:#79B8FF\"> -u<\/span><span style=\"color:#9ECBFF\"> www-data<\/span><span style=\"color:#F97583\"> |<\/span><span style=\"color:#B392F0\"> grep<\/span><span style=\"color:#9ECBFF\"> 'ms6v46'<\/span><\/span><\/code><\/pre><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Fehlende Treffer schlie\u00dfen eine Kompromittierung nicht aus. Einzelne Code-Funktionen wie <code>base64_decode<\/code> beweisen umgekehrt noch keinen Befall. Entscheidend sind der Zusammenhang, die Herkunft der Dateien und die weiteren Spuren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Weg 1: Website und Datenbank aus einem sauberen Backup wiederherstellen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein sauberes Backup vor Beginn des Vorfalls ist der empfohlene Weg. Es muss <strong>vor dem 15. Oktober 2026 um 20:02 UTC<\/strong> entstanden sein, also vor 22:02 MESZ beziehungsweise 16:02 EDT am selben Tag. In indischer Standardzeit entspricht dieser Grenzzeitpunkt dem 16. Oktober um 01:32 IST.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Website und Datenbank wiederherstellen:<\/strong> Verwende ein sauberes Backup, das vor Beginn des betroffenen Zeitfensters entstand.<\/li>\n\n\n<li><strong>Sicherheits-Scan ausf\u00fchren:<\/strong> Pr\u00fcfe die wiederhergestellte Website mit einem etablierten Werkzeug wie <a href=\"https:\/\/wordpress.org\/plugins\/wordfence\/\">Wordfence<\/a> oder <a href=\"https:\/\/wordpress.org\/plugins\/sucuri-scanner\/\">Sucuri<\/a>.<\/li>\n\n\n<li><strong>Alle relevanten Zugangsdaten und Geheimnisse ersetzen:<\/strong> Gehe davon aus, dass die kompromittierte Website sie offengelegt haben k\u00f6nnte. Arbeite die vollst\u00e4ndige Liste zur Rotation weiter unten ab.<\/li>\n\n\n<li><strong>Sauberes PRO-Paket installieren:<\/strong> Lade Version 3.0.124 aus deinem Rank-Math-Konto herunter und installiere sie auf der wiederhergestellten Website.<\/li>\n\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Falls du bei der Wiederherstellung unsicher bist, bitte deinen Hosting-Anbieter um Hilfe. Ein Backup setzt Dateien und Datenbank zur\u00fcck, macht aber bereits abgeflossene Zugangsdaten nicht wieder geheim.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Weg 2: Die Website manuell bereinigen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ohne geeignetes Backup musst du die Malware entfernen und weitere \u00c4nderungen untersuchen. Halte dabei die Reihenfolge ein: Zuerst stoppst du den Mechanismus, der Backdoors erneut anlegt. Erst danach entfernst du die \u00fcbrigen Spuren.<\/p>\n\n\n\n<div class=\"wp-block-group callout callout-warning is-style-warning is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">Nicht zuerst einzelne Backdoor-Dateien l\u00f6schen<\/h4>\n\n\n<p class=\"wp-block-paragraph\">Die Malware kann versteckte Backdoors bei einem Seitenaufruf neu erstellen. Wenn du nur verd\u00e4chtige Dateien entfernst, bleibt dieser Mechanismus m\u00f6glicherweise aktiv. Lass die Arbeiten durch deinen Hoster oder eine qualifizierte Sicherheitsfachkraft ausf\u00fchren, wenn du mit Dateien, Datenbanken oder Servereinstellungen nicht sicher umgehen kannst.<\/p>\n\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Schritt 1: Den Mechanismus zum erneuten Anlegen stoppen<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Entferne zuerst das betroffene Plugin vollst\u00e4ndig und l\u00f6sche die bekannten Datenbankeintr\u00e4ge. Eine blo\u00dfe Deaktivierung gen\u00fcgt nicht. Schlie\u00dfe die folgenden Ma\u00dfnahmen ab, bevor du mit Schritt 2 fortf\u00e4hrst.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Den gesamten PRO-Plugin-Ordner l\u00f6schen:<\/strong> Suche im Dateimanager deines Hosters oder per FTP den Ordner <code>rank-math-pro<\/code> und entferne ihn vollst\u00e4ndig.<\/li>\n\n\n<li><strong>Sch\u00e4dliche Datenbankeintr\u00e4ge entfernen:<\/strong> \u00d6ffne die WordPress-Datenbank beispielsweise mit phpMyAdmin. Suche in <code>wp_options<\/code> nach Eintr\u00e4gen, deren <code>option_name<\/code> exakt <code>_uf6qdn2hmm<\/code>, <code>t8krdk990phb<\/code> oder <code>_np5pvf754c<\/code> lautet, und l\u00f6sche passende Eintr\u00e4ge. Falls deine Installation ein anderes Tabellenpr\u00e4fix nutzt, pr\u00fcfe die entsprechende Options-Tabelle.<\/li>\n\n\n<li><strong>Ausgehende Verbindung blockieren, sofern m\u00f6glich:<\/strong> Sperre <code>rank1cdn.com<\/code> beim Hosting-Anbieter oder in einer Firewall, die ausgehende Verbindungen filtern kann.<\/li>\n\n<\/ol>\n\n\n\n<h3 class=\"wp-block-heading\">Schritt 2: Weitere Dateien, Konten und Server\u00e4nderungen untersuchen<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die Angreifer k\u00f6nnen au\u00dferhalb des PRO-Ordners weitere Zug\u00e4nge hinterlassen haben. Pr\u00fcfe deshalb jeden der folgenden Bereiche. Beschr\u00e4nke dich nicht auf den ersten Fund.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Versteckte Backdoor-Dateien<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Suche nach verd\u00e4chtigen PHP-Dateien an den folgenden Stellen. Achte besonders auf <code>base64_decode<\/code> zusammen mit XOR-Schleifen, auf den Schl\u00fcssel <code>xmmqhn<\/code>, auf <code>proc_open<\/code> und auf Code f\u00fcr PHP-FPM-Sockets. PHP-FPM ist ein Prozessmanager f\u00fcr PHP; solche Socket-Zugriffe sind hier ein Pr\u00fcfhinweis, aber isoliert kein Beweis f\u00fcr Malware.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><code>wp-content\/mu-plugins\/<\/code>, das Verzeichnis f\u00fcr Must-use-Plugins, die WordPress automatisch l\u00e4dt.<\/li>\n\n\n<li>Verzeichnisse anderer Plugins.<\/li>\n\n\n<li>Die Ordner <code>inc\/<\/code>, <code>includes\/<\/code> und <code>lib\/<\/code> von Themes, die nicht zu den WordPress-Standard-Themes geh\u00f6ren.<\/li>\n\n\n<li>Der Ordner <code>includes\/<\/code> des Rank-Math-Plugins.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ein Sicherheits-Plugin oder dein Hosting-Anbieter kann dich bei dieser Suche unterst\u00fctzen. Lass verd\u00e4chtige Dateien pr\u00fcfen und entferne best\u00e4tigten Schadcode.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Unbekannte Administratorkonten<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Kontrolliere alle WordPress-Konten mit Administratorrechten. Verd\u00e4chtig sind insbesondere Benutzernamen mit dem Pr\u00e4fix <code>wpsupport_<\/code> und anschlie\u00dfenden Zufallszeichen sowie E-Mail-Adressen mit der Endung <code>@wp-mail[.]net<\/code>. Entferne Konten, sobald du sie als b\u00f6sartig oder unberechtigt best\u00e4tigt hast.<\/p>\n\n\n\n<div class=\"wp-block-kevinbatdorf-code-block-pro\" data-code-block-pro-font-family=\"Code-Pro-JetBrains-Mono\" style=\"font-size:.875rem;font-family:Code-Pro-JetBrains-Mono,ui-monospace,SFMono-Regular,Menlo,Monaco,Consolas,monospace;line-height:1.25rem;--cbp-tab-width:2;tab-size:var(--cbp-tab-width, 2)\"><span style=\"display:block;padding:16px 0 0 16px;margin-bottom:-1px;width:100%;text-align:left;background-color:#24292e\"><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"54\" height=\"14\" viewBox=\"0 0 54 14\"><g fill=\"none\" fill-rule=\"evenodd\" transform=\"translate(1 1)\"><circle cx=\"6\" cy=\"6\" r=\"6\" fill=\"#FF5F56\" stroke=\"#E0443E\" stroke-width=\".5\"><\/circle><circle cx=\"26\" cy=\"6\" r=\"6\" fill=\"#FFBD2E\" stroke=\"#DEA123\" stroke-width=\".5\"><\/circle><circle cx=\"46\" cy=\"6\" r=\"6\" fill=\"#27C93F\" stroke=\"#1AAB29\" stroke-width=\".5\"><\/circle><\/g><\/svg><\/span><span role=\"button\" tabindex=\"0\" style=\"color:#e1e4e8;display:none\" aria-label=\"Copy\" class=\"code-block-pro-copy-button\"><pre class=\"code-block-pro-copy-button-pre\" aria-hidden=\"true\"><textarea class=\"code-block-pro-copy-button-textarea\" tabindex=\"-1\" aria-hidden=\"true\" readonly>wp user list --role=administrator\n<\/textarea><\/pre><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"width:24px;height:24px\" fill=\"none\" viewBox=\"0 0 24 24\" stroke=\"currentColor\" stroke-width=\"2\"><path class=\"with-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2m-6 9l2 2 4-4\"><\/path><path class=\"without-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2\"><\/path><\/svg><\/span><pre class=\"shiki github-dark\" style=\"background-color:#24292e;color:#e1e4e8\" tabindex=\"0\"><code><span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> user<\/span><span style=\"color:#9ECBFF\"> list<\/span><span style=\"color:#79B8FF\"> --role=administrator<\/span><\/span><\/code><\/pre><\/div>\n\n\n\n<h4 class=\"wp-block-heading\">Gef\u00e4lschte WordPress-Core-Datei<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Die Datei <code>wp-includes\/class-wp-cache-util.php<\/code> geh\u00f6rt nicht zum legitimen WordPress-Core. Entferne sie, falls sie vorhanden ist, und pr\u00fcfe danach die Core-Pr\u00fcfsummen. Installiere die Core-Dateien zus\u00e4tzlich aus einer offiziellen Quelle neu, um weitere manipulierte Core-Dateien zu ersetzen.<\/p>\n\n\n\n<div class=\"wp-block-kevinbatdorf-code-block-pro\" data-code-block-pro-font-family=\"Code-Pro-JetBrains-Mono\" style=\"font-size:.875rem;font-family:Code-Pro-JetBrains-Mono,ui-monospace,SFMono-Regular,Menlo,Monaco,Consolas,monospace;line-height:1.25rem;--cbp-tab-width:2;tab-size:var(--cbp-tab-width, 2)\"><span style=\"display:block;padding:16px 0 0 16px;margin-bottom:-1px;width:100%;text-align:left;background-color:#24292e\"><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"54\" height=\"14\" viewBox=\"0 0 54 14\"><g fill=\"none\" fill-rule=\"evenodd\" transform=\"translate(1 1)\"><circle cx=\"6\" cy=\"6\" r=\"6\" fill=\"#FF5F56\" stroke=\"#E0443E\" stroke-width=\".5\"><\/circle><circle cx=\"26\" cy=\"6\" r=\"6\" fill=\"#FFBD2E\" stroke=\"#DEA123\" stroke-width=\".5\"><\/circle><circle cx=\"46\" cy=\"6\" r=\"6\" fill=\"#27C93F\" stroke=\"#1AAB29\" stroke-width=\".5\"><\/circle><\/g><\/svg><\/span><span role=\"button\" tabindex=\"0\" style=\"color:#e1e4e8;display:none\" aria-label=\"Copy\" class=\"code-block-pro-copy-button\"><pre class=\"code-block-pro-copy-button-pre\" aria-hidden=\"true\"><textarea class=\"code-block-pro-copy-button-textarea\" tabindex=\"-1\" aria-hidden=\"true\" readonly>wp core verify-checksums\n<\/textarea><\/pre><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"width:24px;height:24px\" fill=\"none\" viewBox=\"0 0 24 24\" stroke=\"currentColor\" stroke-width=\"2\"><path class=\"with-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2m-6 9l2 2 4-4\"><\/path><path class=\"without-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2\"><\/path><\/svg><\/span><pre class=\"shiki github-dark\" style=\"background-color:#24292e;color:#e1e4e8\" tabindex=\"0\"><code><span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> core<\/span><span style=\"color:#9ECBFF\"> verify-checksums<\/span><\/span><\/code><\/pre><\/div>\n\n\n\n<h4 class=\"wp-block-heading\">Manipulierte .htaccess und verd\u00e4chtige .cache-Dateien<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Untersuche die <code>.htaccess<\/code> im Hauptverzeichnis der Website und in allen Unterverzeichnissen. Suche nach Regeln, die Dateien mit der Endung <code>.cache<\/code> als PHP ausf\u00fchren lassen. Durchsuche au\u00dferdem den Server nach <code>.cache<\/code>-Dateien mit PHP-Code und untersuche verd\u00e4chtige Funde.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">System-Cron-Jobs und geplante WordPress-Ereignisse<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Pr\u00fcfe die Crontab des Webserver-Benutzers auf Eintr\u00e4ge mit der Markierung <code>#ms6v46<\/code>. Cron-Jobs sind zeitgesteuerte Aufgaben auf dem Server; daneben verwaltet WordPress eigene geplante Ereignisse. Liste auch diese auf und entferne Aufgaben, die du als sch\u00e4dlich best\u00e4tigt hast.<\/p>\n\n\n\n<div class=\"wp-block-kevinbatdorf-code-block-pro\" data-code-block-pro-font-family=\"Code-Pro-JetBrains-Mono\" style=\"font-size:.875rem;font-family:Code-Pro-JetBrains-Mono,ui-monospace,SFMono-Regular,Menlo,Monaco,Consolas,monospace;line-height:1.25rem;--cbp-tab-width:2;tab-size:var(--cbp-tab-width, 2)\"><span style=\"display:block;padding:16px 0 0 16px;margin-bottom:-1px;width:100%;text-align:left;background-color:#24292e\"><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"54\" height=\"14\" viewBox=\"0 0 54 14\"><g fill=\"none\" fill-rule=\"evenodd\" transform=\"translate(1 1)\"><circle cx=\"6\" cy=\"6\" r=\"6\" fill=\"#FF5F56\" stroke=\"#E0443E\" stroke-width=\".5\"><\/circle><circle cx=\"26\" cy=\"6\" r=\"6\" fill=\"#FFBD2E\" stroke=\"#DEA123\" stroke-width=\".5\"><\/circle><circle cx=\"46\" cy=\"6\" r=\"6\" fill=\"#27C93F\" stroke=\"#1AAB29\" stroke-width=\".5\"><\/circle><\/g><\/svg><\/span><span role=\"button\" tabindex=\"0\" style=\"color:#e1e4e8;display:none\" aria-label=\"Copy\" class=\"code-block-pro-copy-button\"><pre class=\"code-block-pro-copy-button-pre\" aria-hidden=\"true\"><textarea class=\"code-block-pro-copy-button-textarea\" tabindex=\"-1\" aria-hidden=\"true\" readonly>wp cron event list\n<\/textarea><\/pre><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"width:24px;height:24px\" fill=\"none\" viewBox=\"0 0 24 24\" stroke=\"currentColor\" stroke-width=\"2\"><path class=\"with-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2m-6 9l2 2 4-4\"><\/path><path class=\"without-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2\"><\/path><\/svg><\/span><pre class=\"shiki github-dark\" style=\"background-color:#24292e;color:#e1e4e8\" tabindex=\"0\"><code><span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> cron<\/span><span style=\"color:#9ECBFF\"> event<\/span><span style=\"color:#9ECBFF\"> list<\/span><\/span><\/code><\/pre><\/div>\n\n\n\n<h4 class=\"wp-block-heading\">Andere Plugins, Themes und Uploads<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Installiere Plugins und Themes aus ihren offiziellen Quellen neu. Vergleiche vorhandene Dateien nach M\u00f6glichkeit mit sauberen Kopien. Pr\u00fcfe das Verzeichnis <code>uploads\/<\/code> auf PHP-Dateien, die dort normalerweise nicht liegen sollten, und untersuche unerwartete oder ver\u00e4nderte Dateien vor dem L\u00f6schen.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">\u00c4nderungen au\u00dferhalb von WordPress<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Der m\u00f6gliche Zugriff endet nicht an der Grenze deiner WordPress-Installation. Untersuche auch die folgenden Bereiche des Servers. Falls dir beim Shared Hosting die n\u00f6tigen Rechte fehlen, muss dein Hosting-Anbieter diese Pr\u00fcfung \u00fcbernehmen.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><code>authorized_keys<\/code>-Dateien f\u00fcr SSH-Zug\u00e4nge.<\/li>\n\n\n<li>Crontabs anderer Systembenutzer.<\/li>\n\n\n<li>Laufende Prozesse.<\/li>\n\n\n<li>Verzeichnisse au\u00dferhalb der Website, in die der Webserver-Benutzer schreiben darf.<\/li>\n\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Schritt 3: Zugangsdaten und Geheimnisse vollst\u00e4ndig ersetzen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Behandle alle Geheimnisse als potenziell offengelegt, auf die die kompromittierte Website zugreifen konnte. Ersetze sie nach der Bereinigung durch neue, sichere Werte. Dieser Schritt ist auch nach einer Wiederherstellung aus einem Backup zwingend n\u00f6tig.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Passw\u00f6rter:<\/strong> \u00c4ndere die Passw\u00f6rter der WordPress-Konten und alle weiteren relevanten Zugangsdaten, die der kompromittierten Website zug\u00e4nglich waren.<\/li>\n\n\n<li><strong>Datenbank:<\/strong> Ersetze den Datenbank-Benutzernamen und das Passwort, die du in <code>wp-config.php<\/code> hinterlegt hast.<\/li>\n\n\n<li><strong>WordPress-Sicherheitsschl\u00fcssel und Salts:<\/strong> Erzeuge die Werte in <code>wp-config.php<\/code> neu. Diese geheimen Werte sichern unter anderem die WordPress-Anmelde-Cookies ab.<\/li>\n\n\n<li><strong>API-Schl\u00fcssel und Dienstzug\u00e4nge:<\/strong> Ersetze Schl\u00fcssel f\u00fcr Zahlungsanbieter, Zugangsdaten f\u00fcr den SMTP-Mailversand, weitere API-Schl\u00fcssel und sonstige Geheimnisse aus Website-Einstellungen oder Konfigurationsdateien.<\/li>\n\n\n<li><strong>Hosting und Serverzug\u00e4nge:<\/strong> \u00c4ndere die Zugangsdaten f\u00fcr das Hosting-Control-Panel, FTP\/SFTP und SSH. Pr\u00fcfe auch Geheimnisse in Umgebungsvariablen.<\/li>\n\n\n<li><strong>Zwei-Faktor-Authentifizierung:<\/strong> Pr\u00fcfe den zweiten Anmeldefaktor aller Administratorkonten und setze ihn bei Bedarf zur\u00fcck.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Trage die neuen Werte \u00fcberall ein, wo die Website oder angebundene Dienste sie ben\u00f6tigen. Falls du den Umfang nicht sicher bestimmen kannst, gehe die erreichbaren Geheimnisse mit deinem Hoster oder einer Sicherheitsfachkraft durch.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Schritt 4: Die bereinigte Website \u00fcberpr\u00fcfen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine abgeschlossene L\u00f6schaktion beweist noch nicht, dass alle Zug\u00e4nge verschwunden sind. Pr\u00fcfe die Dateien erneut und beobachte die Website in den folgenden Tagen. Achte besonders darauf, ob entfernte Dateien zur\u00fcckkehren.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Sicherheits-Scan starten:<\/strong> Verwende ein etabliertes Werkzeug wie Wordfence oder Sucuri.<\/li>\n\n\n<li><strong>WordPress-Core pr\u00fcfen:<\/strong> Vergleiche die Core-Dateien mit den offiziellen Pr\u00fcfsummen.<\/li>\n\n\n<li><strong>Plugin-Dateien pr\u00fcfen:<\/strong> Vergleiche installierte Plugins mit ihren Pr\u00fcfsummen, soweit diese verf\u00fcgbar sind. Gerade Premium-Plugins bieten diese M\u00f6glichkeit nicht immer; nutze dann eine saubere Kopie aus der offiziellen Quelle.<\/li>\n\n\n<li><strong>Ausgehende Verbindungen beobachten:<\/strong> Pr\u00fcfe in den folgenden Tagen, ob der Webserver verd\u00e4chtige Verbindungen aufbaut oder andere ungew\u00f6hnliche Aktivit\u00e4ten zeigt.<\/li>\n\n\n<li><strong>Gel\u00f6schte Dateien erneut kontrollieren:<\/strong> Stelle fest, ob zuvor entfernte Dateien wieder auftauchen.<\/li>\n\n<\/ol>\n\n\n\n<div class=\"wp-block-kevinbatdorf-code-block-pro\" data-code-block-pro-font-family=\"Code-Pro-JetBrains-Mono\" style=\"font-size:.875rem;font-family:Code-Pro-JetBrains-Mono,ui-monospace,SFMono-Regular,Menlo,Monaco,Consolas,monospace;line-height:1.25rem;--cbp-tab-width:2;tab-size:var(--cbp-tab-width, 2)\"><span style=\"display:block;padding:16px 0 0 16px;margin-bottom:-1px;width:100%;text-align:left;background-color:#24292e\"><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"54\" height=\"14\" viewBox=\"0 0 54 14\"><g fill=\"none\" fill-rule=\"evenodd\" transform=\"translate(1 1)\"><circle cx=\"6\" cy=\"6\" r=\"6\" fill=\"#FF5F56\" stroke=\"#E0443E\" stroke-width=\".5\"><\/circle><circle cx=\"26\" cy=\"6\" r=\"6\" fill=\"#FFBD2E\" stroke=\"#DEA123\" stroke-width=\".5\"><\/circle><circle cx=\"46\" cy=\"6\" r=\"6\" fill=\"#27C93F\" stroke=\"#1AAB29\" stroke-width=\".5\"><\/circle><\/g><\/svg><\/span><span role=\"button\" tabindex=\"0\" style=\"color:#e1e4e8;display:none\" aria-label=\"Copy\" class=\"code-block-pro-copy-button\"><pre class=\"code-block-pro-copy-button-pre\" aria-hidden=\"true\"><textarea class=\"code-block-pro-copy-button-textarea\" tabindex=\"-1\" aria-hidden=\"true\" readonly>wp core verify-checksums\nwp plugin verify-checksums --all\n<\/textarea><\/pre><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"width:24px;height:24px\" fill=\"none\" viewBox=\"0 0 24 24\" stroke=\"currentColor\" stroke-width=\"2\"><path class=\"with-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2m-6 9l2 2 4-4\"><\/path><path class=\"without-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2\"><\/path><\/svg><\/span><pre class=\"shiki github-dark\" style=\"background-color:#24292e;color:#e1e4e8\" tabindex=\"0\"><code><span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> core<\/span><span style=\"color:#9ECBFF\"> verify-checksums<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> plugin<\/span><span style=\"color:#9ECBFF\"> verify-checksums<\/span><span style=\"color:#79B8FF\"> --all<\/span><\/span><\/code><\/pre><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Dateien zur\u00fcckkehren oder ungew\u00f6hnliche Aktivit\u00e4ten anhalten, ist die Bereinigung m\u00f6glicherweise unvollst\u00e4ndig. Gehe die Bereiche aus Schritt 2 erneut durch und ziehe deinen Hosting-Anbieter oder eine Sicherheitsfachkraft hinzu.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Bekannte Indikatoren im \u00dcberblick<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die folgenden Kompromittierungsindikatoren, auch Indicators of Compromise (IOC), helfen dir beim gezielten Suchen. Manche sind konkrete Artefakte dieses Vorfalls, andere nur verd\u00e4chtige Code-Muster. Bewerte Funde deshalb immer im Zusammenhang.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Kommunikationsziel:<\/strong> <code>rank1cdn[.]com<\/code>; die Schreibweise mit eckigen Klammern verhindert einen versehentlichen Aufruf.<\/li>\n\n\n<li><strong>Options-Namen:<\/strong> <code>_uf6qdn2hmm<\/code>, <code>t8krdk990phb<\/code> und <code>_np5pvf754c<\/code>.<\/li>\n\n\n<li><strong>Schl\u00fcssel im PHP-Code:<\/strong> <code>xmmqhn<\/code>.<\/li>\n\n\n<li><strong>Verd\u00e4chtige Code-Muster:<\/strong> <code>base64_decode<\/code> zusammen mit XOR-Schleifen, <code>proc_open<\/code> und PHP-FPM-Socket-Code.<\/li>\n\n\n<li><strong>Benutzernamen:<\/strong> <code>wpsupport_<\/code> mit nachfolgenden Zufallszeichen.<\/li>\n\n\n<li><strong>E-Mail-Domain verd\u00e4chtiger Konten:<\/strong> <code>@wp-mail[.]net<\/code>.<\/li>\n\n\n<li><strong>Gef\u00e4lschte Core-Datei:<\/strong> <code>wp-includes\/class-wp-cache-util.php<\/code>.<\/li>\n\n\n<li><strong>Markierung in System-Cron-Jobs:<\/strong> <code>#ms6v46<\/code>.<\/li>\n\n\n<li><strong>Weitere Dateispuren:<\/strong> <code>.cache<\/code>-Dateien mit PHP-Code und <code>.htaccess<\/code>-Regeln, die deren Ausf\u00fchrung als PHP erlauben.<\/li>\n\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Die saubere PRO-Version sicher beziehen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Installiere <strong>Rank Math PRO 3.0.124<\/strong>, sobald du die f\u00fcr deinen Fall n\u00f6tigen Schritte abgeschlossen hast. Rufe daf\u00fcr <code>rankmath.com<\/code> direkt im Browser auf, melde dich an und lade das Paket im Download-Bereich deines Kontos herunter. Falls die Anmeldung nicht klappt, musst du m\u00f6glicherweise dein Kontopasswort zur\u00fccksetzen.<\/p>\n\n\n\n<div class=\"wp-block-group callout callout-warning is-style-warning is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">Keine Anmelde- oder Download-Links aus E-Mails verwenden<\/h4>\n\n\n<p class=\"wp-block-paragraph\">Rank Math verschickt keine Anmelde- oder Download-Links per E-Mail. Behandle unerwartete Nachrichten mit Links zum Passwort-Reset oder Download als verd\u00e4chtig und \u00f6ffne die Herstellerseite direkt.<\/p>\n\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Beziehe das Paket nicht von inoffiziellen Weiterverteilern oder GPL-Download-Portalen. Solche Angebote k\u00f6nnen weiterhin Kopien von 3.0.123 ausliefern. Verwende f\u00fcr die saubere Version dein Herstellerkonto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn du Hilfe bei der Einordnung oder den n\u00e4chsten Schritten brauchst, \u00f6ffne ein <a href=\"https:\/\/rankmath.com\/support\/\">Support-Ticket bei Rank Math<\/a> oder schreibe an <code>support@rankmath.com<\/code>. Nenne deine PRO-Version und beschreibe, welche Schritte du bereits abgeschlossen hast.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was du f\u00fcr den n\u00e4chsten Vorfall vorbereiten solltest<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Auch ein vertrauensw\u00fcrdiger kommerzieller Anbieter kann zum Verteiler von Schadcode werden. Automatische Updates sind deshalb gerade bei Premium-Plugins zweischneidig: Sie verteilen Sicherheitskorrekturen schnell, k\u00f6nnen aber auch ein manipuliertes offizielles Paket \u00fcbernehmen. Entscheide bewusst, wie dein Update-Prozess dieses Risiko behandelt.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Externe Backups mit ausreichender Aufbewahrungsdauer vorhalten:<\/strong> Du brauchst einen sauberen Stand vor Beginn eines Vorfalls, nicht nur die j\u00fcngste Sicherung.<\/li>\n\n\n<li><strong>Ausgehende Verbindungen des Webservers \u00fcberwachen und bei Bedarf einschr\u00e4nken:<\/strong> Ber\u00fccksichtige nicht nur eingehende Angriffe.<\/li>\n\n\n<li><strong>Pr\u00fcfsummen kontrollieren:<\/strong> Nutze offizielle Pr\u00fcfsummen und saubere Herstellerpakete, um unerwartete Datei\u00e4nderungen zu erkennen.<\/li>\n\n\n<li><strong>Downloads direkt beim Hersteller beziehen:<\/strong> Vermeide inoffizielle Paketquellen und pr\u00fcfe vermeintliche Sicherheits-E-Mails besonders sorgf\u00e4ltig.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Pr\u00fcfe jetzt zuerst deinen Download- und Aktivierungszeitpunkt. Falls das betroffene Paket aktiv war, w\u00e4hle den Backup-Weg oder stoppe vor der manuellen Suche den Mechanismus zum erneuten Anlegen der Backdoors. Ersetze anschlie\u00dfend die erreichbaren Geheimnisse und kontrolliere in den n\u00e4chsten Tagen, ob die Website sauber bleibt.<\/p>\n\n\n<div class=\"references-section\">\n                <h2>Referenzen \/ Quellen<\/h2>\n                <ul class=\"references-list\"><li><a href=\"https:\/\/rankmath.com\/kb\/pro-3-0-123-security-incident\/\" target=\"_blank\" rel=\"noopener noreferrer\">Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website<\/a><\/li><li><a href=\"https:\/\/www.wordfence.com\/blog\/2026\/10\/rank-math-seo-pro-3-0-123-malware\/\" target=\"_blank\" rel=\"noopener noreferrer\">Rank Math SEO PRO 3.0.123 supply chain attack: malware in official update packages<\/a><\/li><li><a href=\"https:\/\/www.wordfence.com\/threat-intel\/vulnerabilities\/id\/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f\" target=\"_blank\" rel=\"noopener noreferrer\">Rank Math SEO PRO 3.0.123 &#8211; Unauthenticated Embedded Malicious Code<\/a><\/li><\/ul>\n            <\/div>","protected":false},"excerpt":{"rendered":"<p>Ein Teil der offiziellen Pakete von Rank Math PRO 3.0.123 enthielt Malware. So pr\u00fcfst du, ob deine Website betroffen ist, und bereinigst sie in der richtigen Reihenfolge.<\/p>\n","protected":false},"author":11,"featured_media":287,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[53,145,146,10,7],"class_list":["post-288","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit","tag-malware","tag-rank-math","tag-supply-chain-angriff","tag-wordpress","tag-wp-cli"],"_links":{"self":[{"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/posts\/288","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/users\/11"}],"replies":[{"embeddable":true,"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/comments?post=288"}],"version-history":[{"count":0,"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/posts\/288\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/media\/287"}],"wp:attachment":[{"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/media?parent=288"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/categories?post=288"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/helloblog.io\/de\/wp-json\/wp\/v2\/tags?post=288"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}