Rank Math PRO 3.0.123 mit Schadcode ausgeliefert: So prüfst du, ob deine WordPress-Seite betroffen ist

01 / Was passiert ist

Was bei Rank Math PRO passiert ist.

Rank Math ist eines der verbreitetsten SEO-Plugins für WordPress. Die kostenlose Version „Rank Math SEO“ meldet auf WordPress.org mehr als vier Millionen aktive Installationen [7]. Die Bezahlversion Rank Math PRO kommt dagegen nicht über WordPress.org, sondern direkt vom Hersteller: als Download aus dem Kundenkonto oder als Update über dessen eigenen Update-Kanal [5].

Genau dieser Kanal wurde angegriffen. Am 16. Oktober 2026 veröffentlichte Rank Math einen Sicherheitshinweis: Eine begrenzte Zahl von Nutzern, die Rank Math PRO 3.0.123 zwischen 20:02 und 07:12 Uhr UTC heruntergeladen hatte, bekam Dateien mit Schadcode [1]. Rank Math hat die Dateien entfernt und die saubere Version 3.0.124 veröffentlicht, die im Changelog auf den 16. Oktober datiert ist [1][2].

Laut Hersteller richtet die Schadsoftware dauerhaften Zugang ein, nimmt Kontakt zur Domain rank1cdn[.]com auf und baut ihre versteckte Hintertür bei jedem Seitenaufruf neu auf [1][4]. Alles, was der Webserver lesen kann, gilt als potenziell abgeflossen: WordPress-Passwörter, Datenbank-Zugangsdaten, API-Schlüssel [1]. Wordfence führt den Vorfall als CVE-2026-111862 mit einer Bewertung von 9,8 von 10 („kritisch“) [4].

Offen ist bisher vieles. Rank Math hat nicht gesagt, wie der Schadcode in das Download-System gelangte, wie viele Kunden eine betroffene Kopie erhielten und ob automatische Updates sie ausgeliefert haben [5]. BleepingComputer hat beim Hersteller nach Zahl und Angriffsweg gefragt und bis zur Veröffentlichung keine Antwort bekommen [6].

02 / Betroffen oder nicht

Bin ich betroffen? Drei Fälle, eine Ausnahme.

Zuerst die Entwarnung für viele: Nutzt du nur das kostenlose Rank Math SEO von WordPress.org, ist deine Website laut Rank Math nicht betroffen, du musst nichts tun [1]. Die kostenlose Version wurde zuletzt am 6. Oktober aktualisiert, also vor dem Vorfall [7].

Wichtig für alle PRO-Nutzer: Die Versionsnummer allein sagt nichts aus. Version 3.0.123 erschien laut Changelog schon am 7. Oktober [2]. Wer sie vor dem 15. Oktober, 22:02 Uhr deutscher Zeit, geladen hat, bekam eine saubere Kopie [5]. Entscheidend ist, wann die Datei auf deinen Server kam. Rank Math unterscheidet drei Fälle [1]:

• Im Zeitfenster installiert und aktiviert: Die Website gilt als kompromittiert, auch wenn inzwischen 3.0.124 läuft [1][5]. Dann folgt die Bereinigung unten.
• Installiert, aber nie aktiviert: Plugin-Dateien löschen, 3.0.124 aus dem Rank-Math-Konto installieren und vorsorglich einen Sicherheits-Scan laufen lassen [1].
• Nur heruntergeladen, nicht installiert: Aus diesem Vorfall allein ergibt sich laut Rank Math kein Hinweis auf eine Kompromittierung [1]. Die ZIP-Datei würde ich trotzdem löschen (Einschätzung).

Rank Math hat nach eigenen Angaben Aufzeichnungen darüber, wer eine betroffene Kopie geladen hat, und betroffene Nutzer per E-Mail informiert [1][3]. Hast du eine solche Mail bekommen, folge der Anleitung, auch wenn auf deiner Seite inzwischen eine andere Version läuft [3]. Vorsicht bei Links: Rank Math schreibt, dass es niemals Login- oder Download-Links per E-Mail verschickt. Ruf rankmath.com immer direkt auf [1].

Wenn du unsicher bist, wann das Update kam: Ein Blick in das Aktivitätsprotokoll eines Sicherheits-Plugins, in die Update-Historie deines Hostings oder auf das Änderungsdatum des Ordners rank-math-pro grenzt den Zeitpunkt meist ein (Einschätzung). Bleibt es unklar, empfiehlt Rank Math, den Support zu kontaktieren [1].

03 / Prüfliste

Woran du eine Infektion erkennst.

Rank Math und Wordfence nennen konkrete Spuren, sogenannte Indicators of Compromise. Findest du eine davon, ist die Seite mit hoher Wahrscheinlichkeit befallen. Findest du keine, beweist das laut Wordfence allein noch nicht, dass die Seite sauber ist [3].

1. Datenbank: Einträge in der Tabelle wp_options mit dem option_name _uf6qdn2hmm, t8krdk990phb oder _np5pvf754c [1][3].
2. Benutzer: Unbekannte Administratoren, deren Name mit wpsupport_ beginnt, oder Konten mit einer E-Mail-Adresse auf @wp-mail[.]net. Per WP-CLI listest du alle Admins mit wp user list --role=administrator [1].
3. Falsche Core-Datei: wp-includes/class-wp-cache-util.php gehört nicht zu WordPress [1].
4. Versteckte PHP-Dateien: in wp-content/mu-plugins/, in Ordnern anderer Plugins, in den Ordnern inc/, includes/ und lib/ von Themes, im includes/-Ordner von Rank Math und im Upload-Ordner. Verdächtig ist Code mit base64_decode und XOR-Schleifen, dem Schlüssel xmmqhn, proc_open oder PHP-FPM-Socket-Code [1][3].
5. .htaccess und .cache-Dateien: Regeln, die .cache-Dateien als PHP ausführen lassen, und .cache-Dateien mit PHP-Code [1].
6. Geplante Aufgaben: Einträge mit der Markierung #ms6v46 in der Crontab des Webserver-Benutzers, dazu auffällige WordPress-Ereignisse (wp cron event list) [1].
7. Netzwerk: ausgehende Verbindungen zu rank1cdn[.]com [3].

Auf Shared Hosting kommst du an Crontab, SSH-Schlüssel und Prozesse meist nicht heran. Dann bittest du deinen Hoster, diese Bereiche zu prüfen, so empfiehlt es auch Rank Math [1].

04 / Bereinigung

So bereinigst du die Seite in der richtigen Reihenfolge.

Weg 1: Backup von vor dem Vorfall einspielen

Rank Math empfiehlt vorrangig, Dateien und Datenbank aus einer Sicherung wiederherzustellen, die vor dem 15. Oktober, 20:02 Uhr UTC (22:02 Uhr MESZ), entstanden ist [1]. Danach einen Sicherheits-Scan mit einem Werkzeug wie Wordfence oder Sucuri, alle Zugangsdaten tauschen und erst zum Schluss 3.0.124 aus dem Rank-Math-Konto installieren [1]. Beachte: Inhalte, Bestellungen oder Formulareinträge, die seitdem dazugekommen sind, gehen mit dem Zurückspielen der Datenbank verloren. Bei Shops würde ich diese vorher exportieren (Einschätzung).

Weg 2: Manuell bereinigen, wenn kein Backup da ist

Hier ist die Reihenfolge entscheidend, denn die Schadsoftware stellt ihre Hintertür bei jedem Besuch wieder her. Wer zuerst verdächtige Dateien löscht, räumt womöglich umsonst auf [1]. Rank Math nennt deshalb drei Schritte, die vor allem anderen kommen [1]:

1. Den kompletten Ordner rank-math-pro per FTP oder Dateimanager löschen. Deaktivieren reicht nicht.
2. Die drei oben genannten Einträge in wp_options löschen.
3. Ausgehende Verbindungen zu rank1cdn[.]com sperren, wenn Hoster oder Firewall das erlauben.

Erst danach gehst du die Prüfliste durch, entfernst fremde Admins und Dateien, prüfst den WordPress-Kern mit wp core verify-checksums und installierst Plugins und Themes aus offiziellen Quellen neu [1]. Für Premium-Plugins gibt es oft keine Prüfsummen. Vergleiche sie dann mit einer frischen Kopie vom Hersteller [1][3]. Wenn gelöschte Dateien wieder auftauchen, ist die Bereinigung unvollständig [1]. Wer sich mit Dateien, Datenbank und Serverzugang nicht sicher fühlt, sollte das laut Rank Math dem Hoster oder einem Sicherheitsprofi überlassen [1].

In jedem Fall: Passwörter, Schlüssel und Salts tauschen

Dieser Schritt gilt auch nach einem sauberen Backup [1]. Neu setzen solltest du:

• alle WordPress-Passwörter und die Zwei-Faktor-Einstellungen der Administratoren,
• Datenbank-Benutzer und -Passwort in der wp-config.php,
• die Security Keys und Salts in der wp-config.php,
• API-Schlüssel von Zahlungsanbietern, SMTP-Zugänge und andere Schlüssel in Plugin-Einstellungen,
• Zugänge zu Hosting-Panel, FTP, SFTP und SSH sowie Geheimnisse in Umgebungsvariablen [1].

Neue Salts melden alle angemeldeten Nutzer ab. Das ist gewollt, denn damit werden auch gestohlene Sitzungen ungültig (Einschätzung). Plane es für eine ruhige Uhrzeit ein.

05 / Die Lehre

Was der Vorfall für deine Update-Strategie heißt.

Unangenehm an diesem Fall: Wer brav sofort aktualisiert hat, war im Nachteil. Laut The Hacker News ist es mindestens das dritte Mal in diesem Jahr, dass der hauseigene Update-Kanal eines Premium-Plugins manipulierte Versionen verteilt hat, im April etwa bei Smart Slider 3 Pro [5]. Daraus würde ich nicht ableiten, Updates zu meiden. Veraltete Plugins bleiben das größere Risiko, wie die Lücke in Click2Shell: Ein Klick kann deine WordPress-Seite kosten zeigt. Sinnvoll sind ein paar Regeln (Einschätzung):

• Backups mit Verlauf: Tägliche Sicherungen von Dateien und Datenbank, die mindestens zwei Wochen zurückreichen und außerhalb des Servers liegen. Wer am 17. Oktober nur das Backup von gestern hatte, hatte schon die infizierte Version gesichert.
• Funktions-Updates mit kurzer Verzögerung: Bei Premium-Plugins reine Feature- und Bugfix-Versionen ein paar Tage liegen lassen und zuerst auf einer Staging-Kopie einspielen. Sicherheits-Updates dagegen zeitnah.
• Alarm bei neuen Admins und geänderten Dateien: Ein Sicherheits-Plugin mit Dateiüberwachung und Benachrichtigung bei neuen Administratoren hätte hier früh angeschlagen.
• Weniger Geheimnisse auf dem Server: Nur die API-Schlüssel hinterlegen, die wirklich gebraucht werden, mit möglichst eingeschränkten Rechten.

Und das SEO-Plugin selbst? Rank Math bleibt funktional ein solides Werkzeug, der Vorfall betrifft den Vertriebsweg, nicht die SEO-Funktionen. Wie sich Rank Math und Yoast im Alltag unterscheiden, habe ich in Rank Math oder Yoast? verglichen. Nutzer der kostenlosen Version sollten noch eine Nebenwirkung kennen: Rank Math hat Gratis-Konten gelöscht, die zwischen dem 13. und 16. Oktober registriert wurden. Wer betroffen ist, muss das Konto neu anlegen und die Seite neu verbinden, sonst fehlen etwa die Search-Console-Daten im Plugin [1].

FAQ

Häufige Fragen zum Rank-Math-Vorfall.

Reicht es, auf Rank Math PRO 3.0.124 zu aktualisieren?

Nur, wenn die betroffene Kopie nie aktiv war. War sie aktiv, ersetzt das Update zwar das Plugin, entfernt aber keine Dateien, Admin-Konten oder geplanten Aufgaben, die der Schadcode schon angelegt hat [3].

Ich nutze nur das kostenlose Rank Math. Muss ich etwas tun?

Für die Sicherheit nicht, die Version von WordPress.org ist laut Rank Math nicht betroffen [1]. Hast du dein Rank-Math-Konto zwischen dem 13. und 16. Oktober angelegt, musst du es eventuell neu erstellen und die Seite neu verbinden [1].

Meine Seite läuft mit 3.0.123. Bin ich gehackt?

Nicht zwingend. Version 3.0.123 erschien am 7. Oktober, betroffen sind nur Kopien aus dem Zeitfenster am 15. und 16. Oktober [2][3]. Klär den Zeitpunkt des Updates und such nach den Spuren aus der Prüfliste.

Quellen

Quellen

1. Rank Math: „Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website“, 16. Oktober 2026 – rankmath.com · abgerufen 21.10.2026.
2. Rank Math: „Changelog“ (PRO 3.0.123 vom 7. Oktober, 3.0.124 vom 16. Oktober 2026) – rankmath.com · abgerufen 21.10.2026.
3. Wordfence (Alex Thomas): „PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads“, 16. Oktober 2026 – wordfence.com · abgerufen 21.10.2026.
4. Wordfence Intelligence: „Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code“ (CVE-2026-111862), zuletzt aktualisiert 19. Oktober 2026 – wordfence.com · abgerufen 21.10.2026.
5. The Hacker News (Swati Khandelwal): „Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor“, 19. Oktober 2026 – thehackernews.com · abgerufen 21.10.2026.
6. BleepingComputer (Bill Toulas): „WordPress SEO plugin Rank Math compromised to backdoor websites“, 19. Oktober 2026 – bleepingcomputer.com · abgerufen 21.10.2026.
7. WordPress.org: Plugin „Rank Math SEO“ (Version 1.0.280, letzte Aktualisierung 6. Oktober 2026, über 4 Millionen aktive Installationen) – wordpress.org · abgerufen 21.10.2026.

Alle Quellen am 21. Oktober 2026 abgerufen. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.