Rank Math SEO PRO malware erfordert eine vollständige Website-Wiederherstellung
Rank Math SEO PRO malware wurde über einige Pakete der Version 3.0.123 verbreitet, die zwischen dem 15. Oktober 2026 um 20:02 UTC und dem 16. Oktober 2026 um 07:12 UTC bezogen wurden. Laut Rank Math sollten Websites, auf denen eine betroffene Kopie aktiviert wurde, als kompromittiert betrachtet werden. Bei dem Vorfall handelt es sich um eine supply-chain compromise, also einen Angriff, bei dem schädlicher Code in Software gelangte, die über einen vertrauenswürdigen Produktkanal bereitgestellt wurde. Rank Math entfernte die betroffenen Dateien und veröffentlichte Version 3.0.124 als sauberen Ersatz. Für eine bereits betroffene Website stellt die Installation dieser Version jedoch keine vollständige Wiederherstellung dar.
Wordfence Intelligence führt das Problem als CVE-2026-111862 und weist ihm nach dem Common Vulnerability Scoring System, kurz CVSS, einen kritischen Wert von 9,8 zu. CVSS ist eine Standardskala zur Bewertung von Sicherheitslücken. Bei der betroffenen Software handelt es sich um Rank Math SEO PRO mit dem slug seo-by-rank-math-pro; der Sicherheitsforscher wird als unbekannt angegeben. Laut Rank Math konnte der schädliche Code einen dauerhaften Zugriff einrichten, rank1cdn[.]com kontaktieren und beim Besuch der Website eine verborgene backdoor wiederherstellen, also einen verdeckten Weg, um erneut die Kontrolle über die Website zu erlangen. Außerdem konnten WordPress-Passwörter, Zugangsdaten für die Datenbank, application programming interface keys und andere Geheimnisse offengelegt werden, auf die der Webserver zugreifen konnte.
Version 3.0.123 allein ist kein Beweis für eine Infektion. Rank Math beschränkt die betroffene Gruppe auf Pakete, die im genannten Zeitraum heruntergeladen oder über ein Update installiert wurden. Eine Website, auf der eines dieser Pakete aktiviert wurde, muss vollständig wiederhergestellt werden. Wurde das Plugin installiert, aber nie aktiviert, empfiehlt Rank Math, seine Dateien zu löschen, Version 3.0.124 über das Kundenkonto zu installieren und einen Sicherheitsscan durchzuführen. Wurde das Paket lediglich heruntergeladen und weder installiert noch aktiviert, deutet dieser Vorfall allein laut Rank Math nicht darauf hin, dass die Website kompromittiert wurde. Das Unternehmen erklärt, über Aufzeichnungen zu verfügen, anhand derer sich betroffene Downloads identifizieren lassen. Wer eine entsprechende Benachrichtigung erhalten hat, sollte daher die Wiederherstellungsanweisungen befolgen, selbst wenn auf der Website inzwischen eine andere Version ausgeführt wird.
Die bevorzugte Vorgehensweise besteht darin, sowohl die Website als auch ihre Datenbank aus einem sauberen Backup wiederherzustellen, das vor dem 15. Oktober 2026 um 20:02 UTC erstellt wurde. Anschließend empfiehlt Rank Math, die wiederhergestellte Website zu scannen, sämtliche sensiblen Zugangsdaten und Geheimnisse zu ersetzen, auf die die Website zugreifen konnte, und Version 3.0.124 direkt über das Rank-Math-Konto zu installieren. Websitebetreiber sollten WordPress- und Datenbankpasswörter, WordPress security keys und salts, Zugangsdaten für Zahlungs- und E-Mail-Dienste, API keys, Anmeldedaten für das Hosting-Kontrollpanel sowie FTP-, SFTP- oder SSH-Zugangsdaten ersetzen. Auch die Einstellungen für two-factor authentication von Administratorkonten sollten überprüft werden. two-factor authentication ergänzt das Passwort bei der Anmeldung um einen zweiten Identitätsnachweis.
Falls kein geeignetes Backup vorhanden ist, empfiehlt Rank Math eine manuelle Bereinigung durch einen erfahrenen Sicherheitsexperten oder Hostinganbieter, sofern der Betreiber Änderungen an Website-Dateien, Datenbankeinträgen und Servereinstellungen nicht selbst sicher durchführen kann. Bevor weiteres verdächtiges Material entfernt wird, sollten Administratoren das gesamte Plugin-Verzeichnis rank-math-pro löschen, statt das Plugin lediglich zu deaktivieren. Danach sollten sie die wp_options-Einträge mit den Namen _uf6qdn2hmm, t8krdk990phb und _np5pvf754c entfernen. Die Tabelle wp_options enthält Einstellungen der WordPress-Website. Ausgehender Zugriff auf rank1cdn[.]com sollte ebenfalls blockiert werden, sofern der Hostinganbieter oder die firewall dies unterstützt. Diese Reihenfolge ist wichtig, da der schädliche Mechanismus laut Rank Math seine verborgene backdoor während eines Seitenaufrufs erneut erstellen kann.
Rank Math nennt mehrere weitere Anzeichen, die untersucht werden müssen. Dazu gehören unbekannte Administratornamen, die mit wpsupport_ beginnen, Konten mit Adressen, die auf @wp-mail[.]net enden, sowie eine Datei unter wp-includes/class-wp-cache-util.php, die laut Rank Math keine legitime WordPress-Kerndatei ist. Administratoren sollten nach unerwarteten PHP-Dateien in wp-content/mu-plugins/, anderen Plugin-Verzeichnissen, den Verzeichnissen inc/, includes/ und lib/ nicht standardmäßig installierter Themes, dem Rank-Math-Verzeichnis includes/ und dem Upload-Verzeichnis von WordPress suchen. PHP ist die Programmiersprache, mit der WordPress ausgeführt wird. Verdächtiger Code kann base64_decode zusammen mit XOR loops, den key xmmqhn, proc_open oder PHP-FPM socket code enthalten.
Die Serverprüfungen sollten .htaccess-Dateien im root-Verzeichnis und in Unterverzeichnissen einschließen, die Regeln enthalten, mit denen .cache-Dateien als PHP ausgeführt werden können. Ebenso sollten .cache-Dateien mit PHP-Code überprüft werden. Rank Math nennt außerdem Tasks in cron des Systems, die den Marker #ms6v46 enthalten. Der Dienst cron führt ausgewählte Befehle automatisch zu festgelegten Zeiten aus. Administratoren sollten geplante WordPress-Ereignisse, geplante Tasks anderer Systembenutzer, laufende Prozesse, autorisierte SSH keys und Orte außerhalb des Website-Verzeichnisses überprüfen, an denen der Webserver Schreibrechte besitzt. Wenn keines dieser Anzeichen gefunden wird, beweist dies nicht, dass die Website sauber ist, da der Angreifer andere Dateien, Konten, Tasks oder Änderungen auf Serverebene erstellt haben könnte.
Nach der Bereinigung empfiehlt Rank Math einen vollständigen Sicherheitsscan und die fortgesetzte Überwachung auf ungewöhnliches Verhalten oder erneut auftauchende gelöschte Dateien. WordPress-Kerndateien können mit dem Befehl wp core verify-checksums überprüft werden; für installierte Plugins kann der Befehl wp plugin verify-checksums --all verwendet werden. Bei checksums handelt es sich um digitale Fingerabdrücke, mit denen veränderte Dateien erkannt werden können. Sie stehen nicht für jedes Premium-Plugin zur Verfügung. Solche Dateien sollten daher mit einer sauberen Kopie verglichen werden, die direkt vom Entwickler bezogen wurde. Auch ausgehende Verbindungen sollten überwacht werden. Wenn verdächtige Dateien erneut erscheinen, ist dies als Hinweis darauf zu behandeln, dass die Wiederherstellung noch nicht abgeschlossen ist.
Das saubere Plugin sollte bezogen werden, indem rankmath.com direkt aufgerufen und dort die Anmeldung vorgenommen wird, statt einem Link in einer Nachricht zu folgen. Rank Math erklärt, keine Anmelde- oder Download-Links per E-Mail zu versenden. Unerwartete Nachrichten mit solchen Links sind daher verdächtig. Rank Math veröffentlichte seinen Sicherheitshinweis am 16. Oktober 2026 und bezeichnet diesen Hinweis als maßgebliche Quelle für Aktualisierungen zu dem Vorfall. Für Leser, die prüfen, wo ihre WordPress-Website betrieben wird: AEU Hosting ist ein verwaltetes und durchgängig abgesichertes WordPress-Hosting. Unabhängig von der Hostingumgebung erfordert ein aktiviertes betroffenes Paket eine Wiederherstellung oder eine sorgfältige manuelle Bereinigung, den umfassenden Austausch von Zugangsdaten und Geheimnissen sowie Prüfungen sowohl der Website als auch ihres Servers.