Rank Math PRO Malware: Backdoor im Plugin-Download von 3.0.123

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Die Rank Math PRO Malware steckte nicht in einer Sicherheitslücke, sondern im Download selbst. Wer das SEO-Plugin zwischen dem 15. Oktober 2026, 20:02 UTC, und dem 16. Oktober, 07:12 UTC, aus dem Kundenkonto geladen hat, bekam unter Umständen eine Version 3.0.123 mit eingebauter Hintertür. Der Hersteller hat die Dateien entfernt und 3.0.124 als sauberen Stand veröffentlicht. Seit dem 19. Oktober wird der Vorfall als CVE-2026-111862 geführt, bewertet mit CVSS 9.8.

Was die Rank Math PRO Malware auf der Seite anstellt

Laut Herstellerhinweis richtet der Schadcode dauerhaften Zugang ein, nimmt Kontakt zur Domain rank1cdn[.]com auf und baut seine versteckten Hintertüren bei jedem Seitenaufruf neu auf. Genau das macht die Sache unangenehm: Das Plugin zu deaktivieren oder zu aktualisieren reicht nicht, weil der Nachbau-Mechanismus davon unberührt bleibt.

Der Hersteller nennt mehrere Spuren, nach denen sich suchen lässt: einen bösartigen Eintrag in der Tabelle wp_options, der unter einem von drei bekannten Namen auftritt, eine gefälschte Core-Datei unter wp-includes/class-wp-cache-util.php, zusätzliche Administratorkonten mit dem Namenspräfix wpsupport_ und Adressen auf @wp-mail[.]net, als PHP ausführbare .cache-Dateien sowie einen Cron-Eintrag mit der Markierung #ms6v46. Abgegriffen werden kann alles, was dem Webserver zugänglich ist – Datenbank-Zugangsdaten, API-Schlüssel, WordPress-Konten.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Nur PRO, nur ein Zeitfenster

Zwei Einschränkungen sind wichtig, damit keine unnötige Panik entsteht. Erstens: Betroffen ist ausschließlich die kostenpflichtige PRO-Version aus dem Hersteller-Download. Die freie Variante von WordPress.org ist nach Herstellerangabe nicht betroffen – und die läuft laut BleepingComputer auf über vier Millionen Websites. Zweitens: Die Versionsnummer 3.0.123 allein beweist noch keine Kompromittierung. Entscheidend ist, ob die Version im Zeitfenster geladen und danach auch aktiviert wurde. Nur wer sie aktiviert hat, soll die Seite laut Hersteller als kompromittiert behandeln; wer sie nur installiert oder nur heruntergeladen hat, löscht die Dateien, installiert 3.0.124 und scannt vorsorglich.

Was dagegen nicht beruhigen sollte: In der SSVC-Bewertung des CISA-Koordinators vom 20. Oktober steht neben „exploitation: none“ auch „automatable: yes“ und „technicalImpact: total“. Bei einem untergeschobenen Download braucht es ohnehin keine Ausnutzung einer Lücke mehr – wer die Dateien aktiviert hat, ist betroffen.

Was das für dich bedeutet

Aus CISO-Sicht ist das ein Lehrstück über eine Annahme, die in vielen Betrieben unausgesprochen gilt: Was vom Hersteller kommt, ist vertrauenswürdig. Nach über 25 Jahren IT sehe ich diese Annahme regelmäßig genau dort, wo sie am meisten kostet – in automatischen Update-Strecken. Der kürzlich bekannt gewordene Fall AOMEI – dort war der Update-Kanal unterwandert, nicht das Download-Paket – gehört in dieselbe Reihe, und auch beim Backdoor-Vorfall bei Admin Menu Editor Pro war nicht der Code schlecht, sondern der Vertriebsweg unterwandert.

Der eigentliche Schaden liegt deshalb oft nicht in der Website. Eine kompromittierte WordPress-Installation ist vor allem ein Schlüsselbund: SMTP-Zugang, Zahlungs-API, Cloud-Token, manchmal ein SSH-Key. Wer nur das Plugin tauscht und die Zugangsdaten lässt, wie sie sind, hat die Tür zugemacht und den Nachschlüssel liegen gelassen. Und weil der Angreifer bei Erfolg Adminrechte hatte, ist die Frage nicht „ist die Seite sauber?“, sondern „was wurde von dieser Seite aus noch erreicht?“.

Konkret: diese Schritte jetzt

• Zeitstempel und Aktivierung prüfen, nicht nur die Version. Im Kundenkonto nachsehen, wann 3.0.123 geladen wurde, mit dem Elf-Stunden-Fenster vergleichen – und dann klären, ob das Plugin danach tatsächlich aktiv war. Das ist das eigentliche Kriterium.
• Ausgehende Verbindungen zu rank1cdn[.]com blockieren. Der Hersteller nennt das ausdrücklich als Teil des Schritts, der den Nachbau stoppt – nicht als Nachgedanken.
• Im Zweifel auf ein Backup von vor dem 15. Oktober, 20:02 UTC, zurück. Das setzt voraus, dass es ein solches Backup gibt und es offline liegt – wer da nachrüsten will, findet in meinem Ratgeber zu verschlüsselten USB-Sticks und externen SSDs die Hardware-Seite dazu.
• Bei manueller Reinigung die Reihenfolge einhalten. Erst den Plugin-Ordner samt Datenbankeinträgen entfernen, dann nach Hintertüren suchen. Umgekehrt baut sich der Schadcode neu auf.
• Alle Geheimnisse rotieren. Datenbank-Passwort, die Keys und Salts in der wp-config.php, SMTP- und API-Schlüssel, Hosting-, FTP- und SSH-Zugänge. Auch dann, wenn du ein Backup zurückgespielt hast.
• Adminkonten und Core-Dateien gegenprüfen. wp user list --role=administrator und wp core verify-checksums kosten zwei Minuten und beantworten zwei der wichtigsten Fragen.

Und die unbequeme Konsequenz für die Zukunft: Automatische Updates für wenige, kritische Erweiterungen sind praktisch – aber sie verdienen ein Protokoll. Wer nicht weiß, wann welche Version eingespielt wurde, kann einen Vorfall wie diesen nicht eingrenzen. Ein Verzeichnis der eingesetzten Plugins mit Quelle und Zeitpunkt ist kein Bürokratie-Selbstzweck, sondern der Unterschied zwischen einer Stunde Prüfung und einer Woche Verdacht.

Quellen

• Rank Math: PRO 3.0.123 Security Incident – Herstellerhinweis mit Indikatoren und Reinigungsschritten
• NVD: CVE-2026-111862 – veröffentlicht am 19.10.2026, CVSS 3.1 von 9.8 (CRITICAL) durch den CNA Wordfence, CWE-506
• BleepingComputer: WordPress SEO plugin Rank Math compromised to backdoor websites