---
title: "Malware in Rank Math PRO 3.0.123: controleer en herstel je WordPress-site"
url: "https://helloblog.io/nl/rank-math-pro-3-0-123-malware-controleren-en-herstellen/"
date: "2026-10-17"
modified: "2026-10-17"
author: "Sophie de Vries"
language: "nl_NL"
categories: ["Beveiliging"]
tags: ["malware", "Rank Math", "supplychainaanval", "WordPress", "WP-CLI"]
featured_image: "https://helloblog.io/app/uploads/sites/7/2026/10/featured-1024x576.webp"
excerpt: "Een deel van de officiële updatepakketten van Rank Math PRO 3.0.123 bevat malware. Alleen bijwerken is niet genoeg als de besmette plugin actief is geweest: controleer welke herstelroute je nodig hebt."
---

# Malware in Rank Math PRO 3.0.123: controleer en herstel je WordPress-site

Een deel van de officiële download- en updatepakketten van **Rank Math PRO 3.0.123** bevat malware. De getroffen pakketten waren beschikbaar van **15 oktober 2026 om 20:02 UTC tot 16 oktober 2026 om 07:12 UTC**. Voor Nederland en België komt dat neer op **15 oktober om 22:02 tot 16 oktober om 09:12 CEST**, een periode van ongeveer elf uur.

Rank Math heeft de besmette pakketten verwijderd en versie **3.0.124** als schone versie uitgebracht. Heeft je site de besmette plugin uitgevoerd, behandel die site dan als gecompromitteerd. Een update vervangt het pluginpakket, maar verwijdert geen achtergelaten bestanden, beheerdersaccounts of geplande taken elders op je server.

## Wat er is gebeurd

Dit incident is een **supplychainaanval**: de aanvaller verspreidt schadelijke code via de officiële leveringsketen van software. Het gaat dus niet om een gewone programmeerfout die een aanvaller op afstand misbruikt. De malware zat al in het officiële pluginpakket dat gebruikers downloadden of als update ontvingen.

Wordfence Intelligence registreert het incident als **CVE-2026-111862**, met een ernstscore van **9,8 uit 10 volgens het Common Vulnerability Scoring System (CVSS)**: kritiek. De registratie beschrijft ingebouwde schadelijke code waarvoor een aanvaller niet hoeft in te loggen. Alleen een deel van de pakketten van versie 3.0.123 valt onder dit incident; 3.0.124 is de schone versie.

De malware voert code uit zodra de besmette plugin actief is. Ze communiceert met `rank1cdn[.]com` en kan blijvende toegang inrichten via een backdoor: een verborgen toegangsmogelijkheid voor de aanvaller. Bij paginabezoeken kan de malware zo’n verborgen backdoor opnieuw aanmaken.

Ga ervan uit dat de aanvaller geheimen kan inzien die de webserver kan lezen. Daaronder vallen WordPress-inloggegevens, databasegegevens, API-sleutels voor toegang tot externe diensten en andere gevoelige gegevens. Rank Math heeft niet bekendgemaakt hoe de aanvaller de pakketten heeft aangepast.

## Bepaal of jouw site onder het incident valt

De waarschuwing betreft de **PRO-uitbreiding**; de gratis Rank Math-plugin staat niet als getroffen vermeld. Versienummer 3.0.123 bewijst op zichzelf geen besmetting. Het gaat om pakketten die je binnen het genoemde tijdvenster hebt ontvangen.

Open **Plugins** in je WordPress-dashboard en controleer de geïnstalleerde PRO-versie. Met WP-CLI, het opdrachtregelgereedschap voor WordPress, kun je de versie ook opvragen via de pluginslug `seo-by-rank-math-pro`.

```
wp plugin get seo-by-rank-math-pro --field=version
```

Kies vervolgens de situatie die bij jouw site past. De herkomst van het pakket bepaalt het risico, ook als je het pas na het getroffen tijdvenster hebt geactiveerd.

1. **Je hebt het getroffen pakket geïnstalleerd en geactiveerd.** Behandel de site als gecompromitteerd en volg een van de herstelroutes hieronder.
2. **Je hebt het getroffen pakket geïnstalleerd, maar nooit geactiveerd.** Verwijder de betreffende pluginbestanden, installeer de schone versie 3.0.124 vanuit je Rank Math-account en voer uit voorzorg een beveiligingsscan uit.
3. **Je hebt het getroffen pakket alleen gedownload, niet geïnstalleerd of geactiveerd.** Dit incident alleen geeft geen aanwijzing dat je site is gecompromitteerd. Weet je niet zeker of iemand het pakket heeft geïnstalleerd of geactiveerd, vraag dan hulp via [Rank Math-support](https://rankmath.com/support/).

Rank Math houdt bij welke gebruikers de getroffen pakketten hebben gedownload en informeert hen daarover. Heb je zo’n melding ontvangen, volg dan de herstelstappen die bij jouw situatie passen. Dat geldt ook als je inmiddels een andere versie gebruikt.

#### Een update is geen volledige opschoning

Versie 3.0.124 vervangt het besmette Rank Math-pakket, maar ruimt geen wijzigingen elders op. Sla het herstel van een eerder gecompromitteerde site dus niet over omdat het dashboard nu een schone versie toont.

## Herstelroute 1: zet een schone back-up terug

Een schone back-up van vóór het incident is de aanbevolen herstelroute. Gebruik een back-up van **vóór 15 oktober 2026 om 20:02 UTC**, oftewel **22:02 CEST** of **16:02 EDT** op die datum. In India is dat **16 oktober om 01:32 IST**.

1. **Herstel zowel de websitebestanden als de database** vanuit die schone back-up.
2. **Voer een beveiligingsscan uit** met een betrouwbaar hulpmiddel, zoals [Wordfence](https://wordpress.org/plugins/wordfence/) of [Sucuri](https://wordpress.org/plugins/sucuri-scanner/).
3. **Vervang alle mogelijk blootgestelde wachtwoorden en toegangsgegevens.** Neem aan dat de aanvaller de geheimen op je site heeft kunnen lezen. Gebruik de volledige controlelijst voor toegangsgegevens verderop.
4. **Installeer Rank Math PRO 3.0.124** vanuit je Rank Math-account nadat je de site hebt hersteld.

Een back-up terugzetten maakt eerder buitgemaakte sleutels of wachtwoorden niet onbruikbaar. Vervang die dus ook bij deze herstelroute. Vraag je hostingprovider om hulp als je niet zeker weet hoe je bestanden en database correct terugzet.

## Herstelroute 2: ruim de besmetting handmatig op

Zonder bruikbare schone back-up moet je de malware verwijderen en alle andere wijzigingen van de aanvaller nalopen. De volgorde telt: stop eerst het mechanisme dat de backdoor opnieuw aanmaakt en verwijder daarna de achtergebleven onderdelen. Anders kan een volgend paginabezoek je opruimwerk ongedaan maken.

Laat deze route uitvoeren door je hostingprovider of een beveiligingsspecialist als je weinig ervaring hebt met websitebestanden, databases of serverinstellingen. De controle stopt niet bij de WordPress-map. De aanvaller kan ook daarbuiten wijzigingen hebben achtergelaten.

### 1. Stop het opnieuw aanmaken van de malware

Rond alle onderstaande acties af voordat je andere verdachte bestanden opruimt. Alleen de plugin deactiveren is onvoldoende.

1. **Verwijder de volledige map van Rank Math PRO.** Gebruik de bestandsbeheerder van je hostingpakket of FTP. Zoek de geïnstalleerde PRO-map op; de herstelinstructies noemen deze `rank-math-pro`. Verwijder de hele map, niet alleen losse verdachte bestanden.
2. **Verwijder de schadelijke databaseopties.** Open de WordPress-database, bijvoorbeeld met phpMyAdmin. Zoek in `wp_options` naar de hieronder genoemde waarden van `option_name` en verwijder alle overeenkomende records. Gebruikt je installatie een ander tabelvoorvoegsel, open dan de bijbehorende options-tabel.
3. **Blokkeer uitgaande verbindingen naar `rank1cdn.com` als je omgeving dat ondersteunt.** Stel de blokkade in via je hostingprovider of firewall.

- `_uf6qdn2hmm`
- `t8krdk990phb`
- `_np5pvf754c`

Met onderstaande WP-CLI-opdrachten kun je nagaan of de genoemde opties bestaan. De opdrachten lezen de waarden uit; ze verwijderen niets. Ga pas verder met het opruimen van andere bestanden nadat je de PRO-map en de schadelijke opties hebt verwijderd en de domeinblokkade waar mogelijk hebt ingesteld.

```
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c
```

### 2. Zoek achtergebleven toegang en verdachte wijzigingen

De volgende indicatoren helpen je zoeken naar sporen van de besmetting. Controleer elk onderdeel: één verwijderde backdoor sluit andere toegangsmogelijkheden niet uit. Laat een beveiligingsplugin of je hostingprovider helpen bij het zoeken en beoordelen.

#### Verborgen PHP-bestanden

Doorzoek de onderstaande locaties op verdachte PHP-bestanden. Let op code met `base64_decode` in combinatie met XOR-lussen, die gegevens via een bitsgewijze bewerking verhullen. Zoek daarnaast naar de sleutel `xmmqhn`, `proc_open` en code die PHP-FPM-sockets gebruikt om met PHP-processen te communiceren.

- `wp-content/mu-plugins/`
- Mappen van andere plugins
- De mappen `inc/`, `includes/` en `lib/` van niet-standaardthema’s
- De map `includes/` van Rank Math

Zoek bijvoorbeeld vanuit de hoofdmap van WordPress naar de specifieke sleutel. Onderzoek de gevonden bestanden voordat je ze verwijdert. Een losse functie als `base64_decode` bewijst op zichzelf geen besmetting; beoordeel ook de omliggende code.

```
grep -RIn --include='*.php' 'xmmqhn' wp-content/
```

#### Onbekende beheerdersaccounts

Controleer alle WordPress-gebruikers met beheerdersrechten. Let vooral op onbekende gebruikersnamen die beginnen met `wpsupport_`, gevolgd door willekeurige tekens, en op e-mailadressen die eindigen op `@wp-mail[.]net`. Verwijder accounts zodra je hebt vastgesteld dat ze schadelijk of onbevoegd zijn.

```
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
```

#### Een nagemaakt corebestand

Het bestand `wp-includes/class-wp-cache-util.php` hoort niet bij de WordPress-core. Verwijder het als je het aantreft en controleer daarna de corebestanden met checksums: controlewaarden waarmee je bestanden vergelijkt met de officiële exemplaren. Installeer de WordPress-core vervolgens opnieuw vanuit een officiële bron om ook andere aangepaste corebestanden te vervangen.

```
# Controleer of het nagemaakte bestand aanwezig is.
ls -la wp-includes/class-wp-cache-util.php

# Controleer de corebestanden na het verwijderen.
wp core verify-checksums
```

#### Aangepaste .htaccess-regels en .cache-bestanden

Inspecteer `.htaccess` in de hoofdmap van je site én in onderliggende mappen. Zoek naar regels die bestanden met de extensie `.cache` als PHP laten uitvoeren. Doorzoek daarnaast de server op `.cache`-bestanden met PHP-code en onderzoek verdachte vondsten.

#### Geplande taken in WordPress en op de server

Controleer cronjobs: taken die de server op ingestelde momenten uitvoert. Zoek in de crontab van de webservergebruiker naar regels met het label `#ms6v46`. Bekijk ook de geplande WordPress-taken en verwijder taken die je als schadelijk hebt vastgesteld.

```
wp cron event list

# Vervang www-data door de werkelijke webservergebruiker.
# Hiervoor heb je voldoende serverrechten nodig.
crontab -l -u www-data | grep ms6v46
```

#### Andere plugins, thema’s en uploads

- Installeer plugins en thema’s opnieuw vanuit hun officiële bronnen. Vergelijk de aanwezige bestanden waar mogelijk met schone exemplaren.
- Controleer de map `uploads/` op PHP-bestanden. Die horen daar doorgaans niet thuis.
- Onderzoek onverwachte of gewijzigde bestanden voordat je ze verwijdert.

#### Wijzigingen buiten de WordPress-installatie

Beperk je onderzoek niet tot de websitemap. De aanvaller kan ook andere locaties hebben aangepast waar de webservergebruiker toegang toe heeft. Loop daarom de volgende onderdelen na.

- `authorized_keys`-bestanden met toegestane SSH-sleutels
- Crontabs van andere systeemgebruikers
- Actieve processen
- Locaties buiten de websitemap waar de webservergebruiker schrijfrechten heeft

Op gedeelde hosting kun je deze onderdelen mogelijk niet zelf bekijken. Vraag je hostingprovider dan om ze te onderzoeken. Alleen bestanden binnen WordPress controleren dekt dit deel van het incident niet af.

### 3. Vervang alle mogelijk blootgestelde toegangsgegevens

Neem uit voorzorg aan dat de aanvaller alle geheimen heeft kunnen lezen die voor de gecompromitteerde website toegankelijk waren. Vervang ze door nieuwe, veilige waarden nadat je de malware hebt opgeruimd. Deze stap geldt ook als je een schone back-up hebt teruggezet.

- **Wachtwoorden:** wijzig de wachtwoorden van WordPress-accounts en alle andere relevante inloggegevens die de site kon benaderen.
- **Databasegegevens:** vervang de databasegebruikersnaam en het databasewachtwoord en werk de waarden in `wp-config.php` bij.
- **WordPress-beveiligingssleutels en salts:** genereer nieuwe sleutels en salts in `wp-config.php`. Deze geheime waarden helpen WordPress onder meer om inlogsessies te beveiligen.
- **API-sleutels en dienstaccounts:** vervang sleutels van betaalproviders, SMTP-inloggegevens voor uitgaande e-mail, overige API-sleutels en geheimen in website-instellingen of configuratiebestanden.
- **Hosting- en servertoegang:** wijzig de toegangsgegevens voor het hostingpaneel, FTP/SFTP en SSH. Controleer ook geheimen in omgevingsvariabelen.
- **Tweefactorauthenticatie:** controleer de tweede inlogfactor van beheerdersaccounts en stel die waar nodig opnieuw in.

Werk de websiteconfiguratie en alle gekoppelde diensten bij met de nieuwe gegevens. Vraag je hostingprovider of beveiligingsspecialist om mee te kijken als je niet weet welke geheimen de site kon benaderen. Alleen het WordPress-beheerderswachtwoord wijzigen is hier niet voldoende.

### 4. Controleer het resultaat en blijf monitoren

Voer na de opschoning een nieuwe controle uit op bestanden en gedrag. Een scan is daarbij één onderdeel, geen vervanging voor de overige controles. Doorloop de volgende stappen.

1. Voer een beveiligingsscan uit met een betrouwbaar hulpmiddel, zoals Wordfence of Sucuri.
2. Controleer de WordPress-core met `wp core verify-checksums`.
3. Controleer geïnstalleerde plugins met `wp plugin verify-checksums --all`. Niet elke plugin biedt hiervoor checksums, vooral premiumplugins niet. Vergelijk bestanden in dat geval met een schone kopie uit de officiële bron.
4. Monitor de uitgaande verbindingen en let de komende dagen op verdachte activiteit.
5. Controleer of verwijderde bestanden terugkomen.

```
wp core verify-checksums
wp plugin verify-checksums --all
```

Keren verdachte bestanden terug of zie je ongebruikelijke activiteit, dan is de opschoning mogelijk onvolledig. Herhaal de controle op achtergebleven toegang uit stap 2. Laat je hostingprovider of een beveiligingsspecialist verder onderzoek doen.

## Installeer de schone versie via je eigen account

Installeer **Rank Math PRO 3.0.124** zodra je de passende herstelstappen hebt afgerond. Ga rechtstreeks naar `rankmath.com`, log in op je account en haal het pakket uit je downloads. Sommige gebruikers moeten eerst hun accountwachtwoord opnieuw instellen om toegang te krijgen.

#### Let op phishing rond dit incident

Rank Math verstuurt geen inlog- of downloadlinks per e-mail. Behandel ongevraagde e-mails met een link voor een wachtwoordreset of download als verdacht. Open de website zelf en regel je download of wachtwoordherstel vanuit die omgeving.

## Wat je in je beheerproces moet aanscherpen

Ook een vertrouwde commerciële leverancier kan via zijn officiële distributiekanaal malware verspreiden. Automatische updates van premiumplugins hebben daardoor twee kanten: ze helpen je snel bijwerken, maar kunnen ook een besmet officieel pakket binnenhalen. Neem dat risico mee in je update- en herstelproces.

- **Bewaar back-ups buiten de webserver en houd voldoende oudere herstelpunten aan.** Je hebt een schone versie van vóór het incident nodig, niet alleen de meest recente kopie.
- **Monitor en beperk uitgaande verbindingen van de webserver.** Daarmee kun je onverwacht contact met externe infrastructuur signaleren en waar mogelijk blokkeren.
- **Controleer checksums en vergelijk met officiële pakketten.** Gebruik bij ontbrekende checksums een schone download van de leverancier.
- **Haal premiumplugins uit je eigen leveranciersaccount.** Onofficiële downloadsites en sites die plugins onder de GPL herverdelen, kunnen nog pakketten van 3.0.123 aanbieden.
- **Behandel incidentmails kritisch.** Ga zelf naar het leveranciersportaal in plaats van een aangeboden inlog-, herstel- of downloadlink te volgen.

Heb je hulp nodig bij het bepalen van de juiste herstelroute, open dan een [supportticket bij Rank Math](https://rankmath.com/support/). Vermeld je PRO-versie en welke herstelstappen je al hebt uitgevoerd. Schakel voor database-, bestands- en serveronderzoek ook je hostingprovider of beveiligingsspecialist in.

## Referenties / Bronnen

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/)
- [Rank Math SEO PRO 3.0.123 malware](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/)
- [Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code](https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f)