Rank Math PRO 3.0.123: Manipulierte Download-Pakete – so prüfen Sie Ihre WordPress-Seite (CVE-2026-111862)

Wer ist betroffen?

Alle, die Rank Math PRO nutzen und im genannten Zeitfenster von knapp elf Stunden die Version 3.0.123 geladen oder per Update erhalten haben. Wurde das Paket nur heruntergeladen und nicht aktiviert, besteht laut Hersteller durch den Vorfall allein kein Hinweis auf eine Kompromittierung. Wurde es aktiviert, behandeln Sie die Seite als kompromittiert. Wer die kostenlose Version nutzt, ist laut Hersteller nicht betroffen.

Was passiert technisch?

Dies ist kein gewöhnlicher Programmfehler. Angreifer haben es offenbar geschafft, manipulierte Dateien in den Download-Weg des Herstellers zu bringen (ein sogenannter Lieferkettenangriff). Wie, hat Rank Math bisher nicht erklärt. Die manipulierten Dateien laufen, sobald das Plugin aktiviert wird. Laut Hersteller und Medienberichten richtet der Schadcode dauerhaften Zugang ein, nimmt Kontakt zu einer Fremddomain auf, baut seine Hintertür bei Seitenaufrufen neu auf und kann Zugangsdaten und API-Schlüssel offenlegen. Deshalb genügt es nicht, das Plugin zu aktualisieren oder zu löschen. Wir beschreiben hier bewusst keine Details der Funktionsweise.

Was wird beobachtet?

Der Hersteller hat den Vorfall am 16.10.2026 bestätigt, die betroffenen Dateien entfernt und 3.0.124 veröffentlicht. Wordfence hat laut Berichten die Steuerdomain identifiziert und eine CVE vergeben. Wie viele Seiten tatsächlich übernommen wurden, ist unklar. Die Bewertungen weichen ab: 9,8 laut CVE-Eintrag, niedriger bei VulDB, weil nur ein Teil der Pakete betroffen war. Wir aktualisieren diesen Beitrag, sobald belastbare Zahlen vorliegen.

So prüfen Sie, ob Sie betroffen sind

Schritt 1: Wann haben Sie geladen?

Prüfen Sie im Rank-Math-Konto, in Ihren Update-Protokollen bzw. im Hosting-Backup, ob 3.0.123 im Zeitfenster 15.10. 20:02 UTC bis 16.10. 07:12 UTC (22:02 bis 09:12 Uhr deutscher Sommerzeit) auf Ihre Seite kam.

Schritt 2: Version prüfen

Getestet gegen ein Beispielverzeichnis:

grep -m1 -i 'Version:' wp-content/plugins/rank-math-pro/rank-math-pro.php

Der Dateiname kann abweichen. Mit WP-CLI (nicht ausgeführt): wp plugin get rank-math-pro --fields=name,version,status

Schritt 3: Dateien und Spuren suchen

Getestet gegen ein Beispielverzeichnis:

find wp-includes -name 'class-wp-cache-util.php'
grep -rIl 'rank1cdn' wp-content
grep -rn -i 'cache' --include=.htaccess .
find wp-content/uploads wp-content/mu-plugins -name '*.php' -print
find . -name '*.cache'

Ein Treffer bei class-wp-cache-util.php ist ein starker Hinweis, die Datei gehört nicht zu WordPress. .cache-Dateien und PHP in Upload-Ordnern sind verdächtig, aber nicht automatisch bösartig. Kein Treffer ist keine Entwarnung.

Schritt 4: Datenbank und Benutzer prüfen

Mit WP-CLI (nicht ausgeführt):

wp option get _np5pvf754c
wp user list --role=administrator

Gesucht sind die Optionen _uf6qdn2hmm, t8krdk990phb und _np5pvf754c sowie Administratoren mit Namen wpsupport_... oder E-Mails mit @wp-mail.net.

Schritt 5: Server prüfen

Laut Hersteller (nicht getestet): Cron-Einträge mit der Markierung #ms6v46, unbekannte SSH-Schlüssel (authorized_keys) und ausgehende Verbindungen zu rank1cdn.com.

Schritt 6: Kontrolle mit Prüfsummen

Laut Hersteller (nicht ausgeführt): wp core verify-checksums und wp plugin verify-checksums --all. Bei Premium-Plugins fehlen Prüfsummen oft.

Was Sie jetzt tun

1. Nicht nur aktualisieren. Legen Sie zuerst eine Sicherung der aktuellen Stände an (zur Analyse), dann geht es weiter.
2. Nur geladen, nie aktiviert: Dateien löschen, 3.0.124 aus dem eingeloggten Rank-Math-Konto laden, Scan durchführen.
3. Aktiviert: Seite als kompromittiert behandeln. Empfohlen: Wiederherstellung von Dateien und Datenbank aus einem Backup vor dem 15.10.2026, 20:02 UTC; danach scannen und 3.0.124 einspielen.
4. Ohne Backup: den kompletten Ordner rank-math-pro löschen (Deaktivieren genügt nicht), die drei Datenbank-Einträge entfernen, rank1cdn.com sperren, danach weitere Dateien und Konten suchen. Das ist aufwendig, hier lohnt sich Hilfe.
5. Zugangsdaten erneuern, auch nach der Wiederherstellung: WordPress-Passwörter, Datenbank-Zugang in wp-config.php, Schlüssel und Salts, API-Schlüssel, SMTP- und Zahlungsschlüssel, Hosting, FTP/SFTP/SSH.
6. Download nur über das eingeloggte Konto. Der Hersteller versendet keine Download-Links per E-Mail.
7. Kunden- oder Nutzerdaten betroffen? Prüfen Sie datenschutzrechtliche Meldepflichten und holen Sie Rechtsberatung ein.

Fazit

Das ist ein ernster, aber begrenzter Vorfall: Ein kleines Zeitfenster, eine Paketversion, ein klarer Prüfweg. Wer in dem Fenster aktualisiert hat, sollte nicht zögern. Ein Update allein genügt nicht. Wir halten diesen Beitrag aktuell. Vergleichbar gelagert ist der Fall UpdraftCentral: gestohlene Schlüssel installieren Backdoors.

Unser Angebot

Seite im Zeitfenster aktualisiert und unsicher? Mit der Hack-Notfallhilfe bereinigen wir, prüfen Zugänge und härten die Seite (Bereinigung ab 249 €, Bereinigung und Härtung ab 549 €, jeweils einmalig zzgl. MwSt.). Nur Gewissheit nötig? Der Sicherheitscheck zum vorab genannten Festpreis. Dauerhaft abgesichert: WordPress-Wartung (ab 129 € pro Monat zzgl. MwSt.). Siehe auch: WordPress gehackt: Anzeichen und erste 10 Schritte.