Rank Math hat die betroffenen Dateien entfernt und die saubere Version 3.0.124 veröffentlicht. Wordfence wies in einem Hinweis vom 17. Oktober darauf hin, dass die Installation dieser Version lediglich das Plugin ersetzt: Dateien, Administratorkonten oder geplante Aufgaben, die die Schadsoftware bereits an anderer Stelle auf dem Server hinterlassen hat, werden dadurch nicht beseitigt.

Die Versionsnummer allein sagt nichts darüber aus, ob eine Kopie betroffen ist. Im Changelog von Rank Math ist 3.0.123 auf den 7. Oktober datiert, also mehr als eine Woche vor Beginn des Zeitfensters; der Hinweis beschränkt den Vorfall ausdrücklich auf Kopien, die innerhalb des Fensters heruntergeladen oder per Update installiert wurden. Eine vor 20:02 UTC am 15. Oktober bezogene 3.0.123 fällt nicht darunter.

Der Hinweis unterscheidet drei Fälle: Wer 3.0.123 im Zeitfenster installiert und aktiviert hat, soll die Website als kompromittiert behandeln – auch dann, wenn inzwischen auf 3.0.124 aktualisiert wurde – und die Bereinigungsschritte durchlaufen. Wer das Paket installiert, aber nie aktiviert hat, soll die Plugin-Dateien löschen, 3.0.124 aus dem Rank-Math-Konto installieren und einen Sicherheitsscan ausführen. Wer die Datei nur heruntergeladen, aber weder installiert noch aktiviert hat, hat allein aus diesem Vorfall keinen Hinweis auf eine Kompromittierung. Rank Math hat einen Teil der Kunden per E-Mail informiert und bittet Unsichere, den Support zu kontaktieren.

Der Hinweis gilt ausschließlich für das PRO-Plugin, das Kunden über rankmath.com beziehen und aktualisieren. Das kostenlose Rank Math SEO auf WordPress.org, das mehr als vier Millionen aktive Installationen ausweist und zuletzt am 6. Oktober aktualisiert wurde, wird darin nicht genannt.

Was über die Schadsoftware bekannt ist, stammt aus dem Hinweis von Rank Math selbst. Weder dieser noch der Hinweis von Wordfence enthält eine Code-Analyse, und keiner nennt die Urheber. Der Angreifer kann laut Rank Math PHP-Backdoor-Dateien in Ordnern anderer Plugins, in Theme-Verzeichnissen und im Must-Use-Plugins-Verzeichnis hinterlassen, Administratorkonten angelegt, eine gefälschte WordPress-Core-Datei ergänzt, die .htaccess so verändert haben, dass .cache-Dateien als PHP ausgeführt werden, sowie geplante Aufgaben und SSH-Schlüssel hinzugefügt haben. Jedes Passwort, jede Datenbank-Zugangsdaten, jeder API-Schlüssel und jedes andere Geheimnis, das die Website erreichen konnte, muss als offengelegt gelten. Wird verdächtige Dateien gelöscht, bevor der Mechanismus gestoppt ist, der die Hintertür neu erzeugt, bleibt das Problem womöglich bestehen – deshalb ist die Reihenfolge der Bereinigung entscheidend.

Wordfence hat dem Vorfall die Kennung CVE-2026-111862 zugewiesen und bewertet ihn mit 9,8 von 10; als Entdecker ist „unbekannt" eingetragen. Patchstack stuft den Fall als Backdoor ein und hält fest, dass wegen des Angriffs auf die Systeme von Rank Math selbst „eine Regel zur Eindämmung nicht möglich" sei.

Rank Math bevorzugt als Wiederherstellung ein Backup: Existiert eine Sicherung von Website und Datenbank aus der Zeit vor 20:02 UTC am 15. Oktober, soll diese eingespielt, ein Sicherheitsscan ausgeführt und sämtliche Passwörter und Zugangsdaten geändert werden – erst danach wird 3.0.124 aus dem Rank-Math-Konto installiert.

Ohne sauberes Backup läuft die manuelle Bereinigung in fester Reihenfolge ab. Drei Schritte stehen am Anfang:

  • Den gesamten Plugin-Ordner rank-math-pro über den Dateimanager des Hosters oder per FTP löschen. „Das Deaktivieren des Plugins allein genügt nicht", heißt es im Hinweis.
  • In der Tabelle wp_options alle Einträge mit den option_name-Werten _uf6qdn2hmm, t8krdk990phb oder _np5pvf754c entfernen.
  • Ausgehende Verbindungen zu rank1cdn[.]com blockieren, sofern Hoster oder Firewall dies zulassen.

Erst danach beginnt die Suche nach weiteren Veränderungen:

  • Dateien: PHP-Dateien in wp-content/mu-plugins/, in Ordnern anderer Plugins, in den Verzeichnissen inc/, includes/ und lib/ nicht standardmäßiger Themes, im includes/-Ordner von Rank Math selbst sowie in uploads/.
  • Code: PHP, das base64_decode mit XOR-Schleifen, den Schlüssel xmmqhn, proc_open oder PHP-FPM-Socket-Code verwendet.
  • Die Datei wp-includes/class-wp-cache-util.php, die kein Bestandteil des WordPress-Cores ist.
  • Konten: Administratoren mit Benutzernamen, die mit wpsupport_ beginnen, oder mit E-Mail-Adressen auf @wp-mail[.]net.
  • Server: .htaccess-Regeln, die .cache-Dateien als PHP ausführen lassen, .cache-Dateien mit PHP-Code, mit #ms6v46 markierte Einträge in der Crontab des Webserver-Benutzers, geplante WordPress-Ereignisse, authorized_keys-Dateien, Crontabs anderer Benutzer, laufende Prozesse sowie alle Orte außerhalb der Website, an denen der Webserver schreiben kann.

Wordfence mahnt dazu: „Ihr Fehlen beweist für sich genommen nicht, dass eine Website sauber ist." Zugangsdaten sind in jedem Fall zu wechseln, auch nach einer Wiederherstellung aus dem Backup. Die Liste umfasst WordPress-Passwörter, Datenbankbenutzer und -passwort in der wp-config.php, die Security Keys und Salts in derselben Datei, Schlüssel für Zahlungsdienstleister, SMTP und weitere APIs, Zugänge zum Hosting-Control-Panel sowie FTP, SFTP und SSH, Geheimnisse in Umgebungsvariablen und die Zwei-Faktor-Authentifizierung der Administratoren.

Abgeschlossen wird die Bereinigung mit einem Sicherheitsscan sowie wp core verify-checksums für den WordPress-Core und wp plugin verify-checksums –all – mit dem Vorbehalt, dass für Premium-Plugins oft keine Prüfsummen existieren. Für dieses Plugin veröffentlicht WordPress.org keine: Eine Prüfung des Prüfsummendienstes am 19. Oktober ergab, dass unter keinem der beiden Namen des PRO-Plugins eine Datei vorliegt, während für die kostenlose Variante Prüfsummen bereitstehen. Als Rückfallebene nennt der Hinweis den Bezug einer sauberen Kopie aus der offiziellen Quelle. Die saubere 3.0.124 wird zuletzt eingespielt, per direkter Anmeldung auf rankmath.com. Manche Kunden könnten sich nicht anmelden können und müssten ihr Kontopasswort zurücksetzen, heißt es im Hinweis, ohne Begründung; Login- oder Download-Links verschicke Rank Math niemals per E-Mail.

Rank Math, Teil der schwedischen Hosting-Gruppe group.one, hat bislang nicht erklärt, wie die schädlichen Dateien in das Download- und Update-System gelangten, wie viele Kunden ein manipuliertes Paket erhielten, ob automatische Updates diese ausgelieferten haben, und wie die Hashes der sauberen und der verseuchten Pakete lauten. Zur Zukunft heißt es lediglich, das Team ergreife Maßnahmen, um das Risiko ähnlicher Vorfälle zu senken. Registry-Daten zeigen, dass die von Rank Math zum Blockieren empfohlene Domain rank1cdn[.]com am 14. Oktober um 19:31 UTC registriert wurde – rund einen Tag vor Beginn des Zeitfensters.

Es ist mindestens der dritte Fall in diesem Jahr, in dem der herstellereigene Update-Kanal eines kommerziellen WordPress-Plugins mit Backdoors versehene Builds auslieferte. Im April verteilte das Update-System von Nextend rund sechs Stunden lang ein manipuliertes Smart Slider 3 Pro. Im Juni wurden Pro-Plugins von ShapedPlugin im Update-Kanal mit einer Hintertür versehen; ein zunächst sauber ausgeliefertes Paket wurde später „unter derselben Versionsnummer manipuliert" – genau die Falle, in der nun Rank-Math-Kunden stecken. Ebenfalls im Juni veränderten Angreifer Skripte aus dem CDN von Awesome Motive, im August vergifteten sie den API-Feed von BdThemes. Eine Verbindung zwischen den Tätern dieser Vorfälle und dem aktuellen Fall ist nicht belegt.