Rank Math SEO PRO malware erfordert eine vollständige Wiederherstellung der Website
Rank Math SEO PRO malware war laut Rank Math in einigen Exemplaren von Version 3.0.123 enthalten, die zwischen dem 15. Oktober 2026 um 20:02 UTC und dem 16. Oktober 2026 um 07:12 UTC bezogen wurden. Malware ist Software, die darauf ausgelegt ist, unbefugten Zugriff zu erlangen oder Schaden anzurichten. Bei dem Vorfall handelte es sich um eine supply-chain compromise, bei der schädlicher Code in Software gelangte, die über einen vertrauenswürdigen Anbieter verbreitet wurde. Laut Rank Math sollte jede Website, auf der ein betroffenes Paket aktiviert wurde, als kompromittiert betrachtet werden, da der Code möglicherweise Dateien, Administratorkonten, geplante Aufgaben oder Serveränderungen außerhalb des Plugins selbst erstellt beziehungsweise vorgenommen hat. Eine Aktualisierung allein ist daher keine vollständige Lösung.
Wordfence Intelligence bewertete den eingebetteten Schadcode, der keine Authentifizierung erforderte, mit einer Critical CVSS rating von 9,8. CVSS, das Common Vulnerability Scoring System, ist eine Standardskala zur Beschreibung des Schweregrads von Sicherheitsproblemen. Das Problem wird unter CVE-2026-111862 geführt, einer öffentlichen Kennung für eine bestimmte Sicherheitslücke; Wordfence nennt den Forscher als unbekannt. Rank Math entfernte die betroffenen Dateien und veröffentlichte Version 3.0.124 als sauberen Ersatz. Das bloße Auffinden von Version 3.0.123 belegt jedoch noch keine Kompromittierung. Rank Math beschränkt den Vorfall auf Pakete, die während des bestätigten Zeitfensters heruntergeladen oder installiert wurden.
Die erforderliche Reaktion hängt davon ab, was geschehen ist. Wenn ein betroffenes Exemplar installiert und aktiviert wurde, empfiehlt Rank Math eine vollständige Wiederherstellung. Wurde es installiert, aber nie aktiviert, sollten die betroffenen Plugin-Dateien gelöscht, Version 3.0.124 über das Rank-Math-Konto installiert und ein Sicherheitsscan ausgeführt werden. Wenn das Paket heruntergeladen, aber nie installiert oder aktiviert wurde, deutet dieser Vorfall allein laut Rank Math nicht darauf hin, dass die Website kompromittiert wurde. Rank Math gibt an, Aufzeichnungen über Benutzer zu besitzen, die betroffene Exemplare bezogen haben. Jeder, der von Rank Math benachrichtigt wurde, sollte die Wiederherstellungsanweisungen befolgen, selbst wenn auf der Website inzwischen eine andere Version läuft.
Bei einem aktivierten Paket besteht die bevorzugte Wiederherstellung darin, sowohl die Website als auch ihre Datenbank aus einem sauberen Backup wiederherzustellen, das vor dem 15. Oktober 2026 um 20:02 UTC erstellt wurde. In der Datenbank speichert WordPress Inhalte, Benutzer und Einstellungen. Nach der Wiederherstellung sollte die Website gescannt, jede sensible Zugangsinformation, auf die die Website zugreifen konnte, ersetzt und Version 3.0.124 direkt über das Konto installiert werden. Falls kein geeignetes Backup vorhanden ist, empfiehlt Rank Math Eigentümern, die Dateien, Datenbank-records und Servereinstellungen nicht selbst ändern möchten, eine manuelle Bereinigung durch einen erfahrenen Sicherheitsexperten oder Hostinganbieter.
Die Reihenfolge der manuellen Bereinigung ist wichtig, da die Malware bei jedem Besuch der Website ein verborgenes backdoor neu erstellen konnte, das eine verdeckte Möglichkeit zur Wiedererlangung des Zugriffs bietet. Rank Math empfiehlt, den gesamten Ordner rank-math-pro zu löschen, anstatt das Plugin lediglich zu deaktivieren. Anschließend sollte jeder record in der Einstellungstabelle wp_options entfernt werden, der _uf6qdn2hmm, t8krdk990phb oder _np5pvf754c heißt. Sofern unterstützt, sollten ausgehende Verbindungen zu rank1cdn[.]com blockiert werden. Erst nachdem dieser Mechanismus zur Neuerstellung deaktiviert wurde, sollten die mit der Bereinigung betrauten Personen weiteres verdächtiges Material entfernen und WordPress, Plugins und Themes gegebenenfalls aus vertrauenswürdigen Exemplaren neu installieren.
Zu den indicators of compromise von Rank Math gehören Verbindungen zu rank1cdn[.]com, Administratornamen, die mit wpsupport_ beginnen, sowie Konten mit Adressen, die auf @wp-mail[.]net enden. Zu den Dateiindikatoren gehören wp-includes/class-wp-cache-util.php, das laut Rank Math keine legitime WordPress core file ist, sowie unerwartete PHP-Dateien. PHP ist die von WordPress verwendete Programmiersprache. Zu den verdächtigen Speicherorten gehören wp-content/mu-plugins/, das automatisch geladene Plugins enthält, Ordner anderer Plugins, die Verzeichnisse inc/, includes/ und lib/ von nicht standardmäßigen Themes, das Rank-Math-Verzeichnis includes/ sowie das Uploads-Verzeichnis.
Weitere Warnzeichen sind PHP-Code, der base64_decode mit XOR-Schleifen, den key xmmqhn, proc_open oder PHP-FPM socket code verwendet, der mit dem Prozess kommuniziert, auf dem PHP ausgeführt wird. Eigentümer sollten .htaccess-Konfigurationsdateien im Stammverzeichnis und in Unterverzeichnissen auf Regeln prüfen, durch die .cache-Dateien als PHP ausgeführt werden können, und .cache-Dateien auf PHP-Code untersuchen. Systemweite cron-Aufgaben, die automatisch nach einem Zeitplan ausgeführt werden, sind verdächtig, wenn sie dem Webserver-Benutzer gehören und die Markierung #ms6v46 enthalten. Rank Math empfiehlt außerdem, geplante WordPress-Ereignisse, SSH authorized keys für den Remotezugriff auf den Server, Aufgaben anderer Systembenutzer, laufende Prozesse und beschreibbare Speicherorte außerhalb des Website-Verzeichnisses zu überprüfen. Wenn keines dieser Anzeichen gefunden wird, beweist dies nicht, dass die Website sauber ist.
Das Ersetzen von Zugangsdaten bleibt auch nach der Wiederherstellung eines Backups unerlässlich. Rank Math empfiehlt, WordPress-Passwörter, Datenbankzugangsdaten, WordPress security keys und salts, Zugangsdaten für Zahlungs- und E-Mail-Dienste, API keys, die Software den Zugriff auf andere Dienste ermöglichen, Anmeldedaten für das Hosting-Kontrollpanel sowie FTP-, SFTP- oder SSH-Zugangsdaten für Dateiübertragungen oder die Remoteverwaltung zu ändern. Administratorkonten und ihre Einstellungen für two-factor authentication, die eine zweite Anmeldeprüfung verlangt, sollten ebenfalls überprüft werden. Die Warnung gilt für jedes Geheimnis, auf das der kompromittierte Webserver möglicherweise zugreifen konnte, nicht nur für das WordPress-Passwort.
Nach der Bereinigung sollte ein vollständiger Scan durchgeführt und die WordPress core files mit `wp core verify-checksums` überprüft werden. Eine checksum ist ein digitaler Fingerabdruck, mit dem eine veränderte Datei erkannt werden kann. Plugin-Dateien sollten mit `wp plugin verify-checksums --all` geprüft werden. Da checksums nicht für jedes Premium-Plugin verfügbar sind, sollten nicht unterstützte Produkte mit einem sauberen Exemplar verglichen werden, das direkt vom Entwickler heruntergeladen wurde. Ausgehende Verbindungen sollten weiterhin überwacht werden. Außerdem ist darauf zu achten, ob gelöschte Dateien zurückkehren. Erneut auftauchende Dateien bedeuten, dass die Bereinigung unvollständig ist.
Laut Rank Math sollte Version 3.0.124 bezogen werden, indem man rankmath.com direkt aufruft und sich dort anmeldet. Das Unternehmen erklärt, dass es keine Anmelde- oder Downloadlinks per E-Mail verschicken wird. Unerwartete Nachrichten mit solchen Links sollten daher als verdächtig betrachtet werden. Der betroffene Zeitraum endete am 16. Oktober um 07:12 UTC, und Rank Math veröffentlichte seine Sicherheitsmitteilung noch am selben Tag. Diese Mitteilung bleibt die maßgebliche Quelle für Aktualisierungen zu dem Vorfall. Wordfence zufolge können sich Care- und Response-Kunden an das Incident-Response-Team des Unternehmens wenden, um Unterstützung bei Untersuchung und Bereinigung zu erhalten.
Für Leser, die Schutz auf der Hostingebene suchen, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting. Unabhängig vom Anbieter sollten Eigentümer einer betroffenen Website Beweismaterial sichern, wenn möglich ein Backup aus der Zeit vor dem Vorfall verwenden, offengelegte Geheimnisse ersetzen, die saubere Version installieren und die Website weiterhin auf erneuten Zugriff überwachen.