Rank Math PRO 3.0.123: Update lieferte Schadcode aus

Rank Math PRO 3.0.123: Worum es geht

Wenn Sie Rank Math PRO einsetzen, prüfen Sie heute bitte als Erstes, wann das Plugin zuletzt aktualisiert wurde. Zwischen dem 15. Oktober 2026 um 22:02 Uhr und dem 16. Oktober um 9:12 Uhr (MESZ) hat der Hersteller über seine eigenen Download- und Update-Wege manipulierte Pakete der Version 3.0.123 ausgeliefert. Darin steckte eine Hintertür.

Gut elf Stunden lang konnte also ein ganz normales Plugin-Update Schadcode auf Ihren Server bringen. Wordfence führt den Vorfall als CVE-2026-111862 und bewertet ihn mit 9,8 von 10 Punkten. Die bereinigte Version 3.0.124 ist verfügbar. War das verseuchte Paket bei Ihnen aktiv, reicht das Update allein aber nicht.

Was macht der Schadcode?

Die Hintertür verschafft Angreifern dauerhaften Zugang zu Ihrer Website und meldet sich bei einem fremden Server. Laut Wordfence ist damit alles in Gefahr, was Ihr Webserver lesen kann: Passwörter, der Zugang zur Datenbank, API-Schlüssel etwa für Zahlungsanbieter oder Mailversand und die Daten Ihrer Kundschaft. Rank Math nennt rank1cdn.com als Domain, zu der Sie ausgehende Verbindungen sperren sollten.

Unangenehm ist vor allem, wie hartnäckig der Code ist. Er kann seine Hintertür bei jedem Seitenaufruf neu anlegen. Wer nur die verdächtigen Dateien löscht, hat sie beim nächsten Besuch wieder auf dem Server. Dazu kommen laut Sicherheitshinweis des Herstellers (öffnet in neuem Tab) versteckte Admin-Konten, eine als WordPress-Systemdatei getarnte Datei und zeitgesteuerte Aufgaben auf Serverebene.

Wie die Angreifer an den Auslieferungsweg kamen und wie viele Websites betroffen sind, hat Rank Math bisher nicht mitgeteilt (Stand: 17. Oktober 2026).

Ist meine Website betroffen?

Entscheidend ist nicht die Versionsnummer, sondern der Zeitpunkt des Downloads. Version 3.0.123 ist laut Changelog (öffnet in neuem Tab) schon am 7. Oktober erschienen, betroffen sind aber nur Pakete aus dem Zeitfenster. Wer seit Anfang Oktober auf 3.0.123 steht, ist also nicht automatisch infiziert. Wer erst am 16. Oktober früh morgens aktualisiert hat, womöglich schon.

Rank Math unterscheidet drei Fälle:

Kunden, die im Zeitfenster heruntergeladen haben, informiert Rank Math nach eigenen Angaben direkt.

Was Betreiber jetzt tun sollten

Erst das saubere Backup sichern, dann wiederherstellen, dann alle Schlüssel tauschen. Wer mehrere Kundenseiten betreut, gleicht zuerst die Update-Zeitpunkte aller PRO-Installationen mit dem Zeitfenster ab.

1. Sauberes Backup sichern, solange es noch existiert. Viele Hoster bewahren Sicherungen nur wenige Tage oder Wochen auf. Laden Sie eine Sicherung von vor dem 15. Oktober, 22:02 Uhr herunter, bevor sie überschrieben wird.
2. Wiederherstellen statt flicken. Rank Math empfiehlt, Dateien und Datenbank aus dieser Sicherung zurückzuspielen. Das ist sicherer als jede Handreinigung.
3. Ohne Backup: Reihenfolge einhalten. Zuerst den kompletten Ordner rank-math-pro löschen, Deaktivieren genügt nicht. Dann die drei Einträge aus wp_options entfernen und ausgehende Verbindungen zu rank1cdn.com sperren. Erst danach die übrigen Spuren aus dem Kurzcheck beseitigen, sonst legt der Code sie neu an.
4. Alle Zugangsdaten erneuern, auch nach dem Backup. Ein Backup bringt die Dateien zurück, aber keine Geheimnisse, die schon abgeflossen sind. Neu gehören: WordPress-Passwörter, Datenbank-Zugang und Sicherheitsschlüssel in der wp-config.php, API-Schlüssel für Zahlung und Mailversand sowie Hosting-, FTP- und SSH-Zugänge.
5. 3.0.124 nur direkt beziehen. Melden Sie sich selbst auf rankmath.com an und laden Sie die Version dort herunter. Login- oder Download-Links verschickt Rank Math laut eigener Aussage nie per E-Mail. Mails mit solchen Links sollten Sie gerade jetzt misstrauisch behandeln.
6. Nachkontrollieren. Sicherheitsscan laufen lassen, die WordPress-Kerndateien mit wp core verify-checksums prüfen und in den Tagen danach beobachten, ob gelöschte Dateien wieder auftauchen.
7. Datenschutz prüfen. Konnten personenbezogene Daten abfließen, kann eine Meldung an die Datenschutzbehörde binnen 72 Stunden nötig sein (Art. 33 DSGVO).

Unsere Einschätzung

Dieser Fall ist anders als die üblichen Plugin-Lücken. Es gab keinen Programmierfehler, den ein Update schließt. Das Update selbst war der Angriff.

Premium-Plugins beziehen ihre Updates nicht aus dem Verzeichnis von wordpress.org, sondern direkt vom Server des Herstellers. Prüfsummen zum Abgleich gibt es dafür oft nicht. Wer diesen Lieferweg kontrolliert, erreicht alle Kunden auf einmal, und die automatischen Updates verteilen den Schadcode binnen Stunden. Genau die Automatik, die wir bei Lücken wie CVE-2026-87902 ausdrücklich empfehlen, wurde hier zum Einfallstor.

Neu ist das Muster nicht. Im Juli 2025 fand Patchstack (öffnet in neuem Tab) eine Hintertür in Gravity-Forms-Paketen, die direkt von der Herstellerseite geladen worden waren. Kurz davor hatte es das CRM-Plugin Groundhogg getroffen.

Was folgt daraus? Jedes Plugin ist ein Zulieferer mit Vollzugriff auf Ihren Server. Je mehr davon laufen, desto mehr Firmen müssen ihre Infrastruktur im Griff haben, damit Ihre Website sicher bleibt. Backups brauchen eine Aufbewahrung, die länger ist als die Zeit bis zur Entdeckung eines Vorfalls. Und jemand muss eine Warnung wie diese auch an einem Freitagabend lesen und handeln: Rank Math veröffentlichte seine Anleitung am 16. Oktober um 22:32 Uhr.

Wir raten deshalb nicht pauschal von WordPress ab. Wer aber ohnehin über einen Relaunch nachdenkt, sollte eine Frage mit in die Rechnung nehmen: Wie viele Dritte dürfen Code auf meinen Live-Server schieben, ohne dass jemand draufschaut? Auch moderne Systeme haben Abhängigkeiten, und auch npm-Pakete wurden schon kompromittiert. Der Unterschied liegt im Ablauf: Bei einem Headless CMS wie Payload landen Updates nicht automatisch live, sondern laufen durch Build, Prüfung und Deployment. Wie sich das rechnet, zeigen unser Vergleich von eigenem CMS und WordPress und der Überblick über WordPress-Alternativen.

Lösungen von SymbolicLabs

• WerkzeugWordPress-Check starten

  WordPress-Version, Plugins und bekannte Sicherheitslücken Ihrer Seite in unter einer Minute prüfen, passiv und ohne Anmeldung.

• LeistungCMS-Entwicklung bei SymbolicLabs

  Content-Management-Systeme ohne Plugin-Wildwuchs, mit kleiner Angriffsfläche und klarer Zuständigkeit für Updates.

• ArtikelWordPress-Sicherheitslücke CVE-2026-87902

  Die Lücke im WordPress-Kern vom September, die Angreifer keine fünf Stunden nach dem Patch ausnutzten.

Häufig gestellte Fragen (FAQ)

Was ist bei Rank Math PRO 3.0.123 passiert?

Über die offiziellen Download- und Update-Wege von Rank Math wurden manipulierte Pakete von Rank Math SEO PRO 3.0.123 verteilt, vom 15. Oktober 2026, 22:02 Uhr bis 16. Oktober, 9:12 Uhr (MESZ). Die Pakete enthielten eine Hintertür, die Angreifern dauerhaften Zugang zur Website verschafft. Wordfence führt den Vorfall als CVE-2026-111862 mit 9,8 von 10 Punkten.

Ist die kostenlose Version von Rank Math betroffen?

Nach aktuellem Stand nein. Rank Math und Wordfence nennen nur die kostenpflichtige Erweiterung Rank Math SEO PRO. Die Gratisversion aus dem Plugin-Verzeichnis taucht in keinem der beiden Hinweise als betroffen auf.

Ich nutze 3.0.123 schon seit Anfang Oktober. Bin ich betroffen?

Wahrscheinlich nicht. Version 3.0.123 erschien am 7. Oktober, betroffen sind nur Pakete, die zwischen dem 15. Oktober, 22:02 Uhr und dem 16. Oktober, 9:12 Uhr (MESZ) heruntergeladen oder installiert wurden. Prüfen Sie trotzdem, ob das Plugin in diesem Zeitraum neu eingespielt wurde, etwa über ein Aktivitätsprotokoll, die Server-Logs oder das Änderungsdatum des Plugin-Ordners.

Warum reicht das Update auf 3.0.124 nicht?

Weil der Schadcode nicht im Plugin bleibt. War das verseuchte Paket aktiv, kann es Dateien, Admin-Konten und zeitgesteuerte Aufgaben außerhalb des Plugins angelegt haben. Das Update tauscht nur das Plugin aus, alles andere bleibt.

Reicht es, ein Backup einzuspielen?

Für die Dateien ja, für die Zugangsdaten nein. Das Backup muss älter sein als der 15. Oktober, 22:02 Uhr. Passwörter, Datenbank-Zugang und API-Schlüssel, die der Schadcode auslesen konnte, müssen Sie danach trotzdem erneuern.

Woher bekomme ich die saubere Version 3.0.124?

Aus Ihrem Kundenkonto auf rankmath.com. Rufen Sie die Seite selbst auf und melden Sie sich dort an, statt Links aus E-Mails zu folgen. Rank Math verschickt nach eigener Aussage keine Login- oder Download-Links per Mail.