Rank Math Pro: Update 3.0.123 brachte Schadcode auf WordPress-Websites

Michael Dobler

Autor Dr. Web

17. Okt. 2026

3 Min. Lesezeit

Über die Download- und Update-Wege von Rank Math gelangte Schadcode auf WordPress-Websites. Pakete von Rank Math SEO PRO 3.0.123, die zwischen dem 15. Oktober um 22:02 Uhr und dem 16. Oktober um 9:12 Uhr (MESZ) heruntergeladen oder per Update installiert wurden, enthielten eine Hintertür. Auf Websites, die ein solches Paket aktiviert haben, hilft das Update auf 3.0.124 allein nicht.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Gehen Sie davon aus, dass Ihre Website kompromittiert ist“, rät Rank Math Kunden mit aktiviertem Paket. Wordfence führt den Vorfall als CVE-2026-111862 mit CVSS 3.1: 9,8, der Stufe kritisch.^[1]^[2] Betroffen ist nur die kostenpflichtige Pro-Erweiterung. Die Gratisversion mit mehr als 4 Millionen aktiven Installationen laut wordpress.org nennen beide Hinweise nicht als betroffen.

Das Wichtigste in Kürze

Verseucht sind Pakete von Rank Math SEO PRO 3.0.123 aus einem Zeitfenster von elf Stunden, sauber ist 3.0.124.
Der Schadcode kann laut Wordfence Zugangsdaten offenlegen und eine gelöschte Hintertür neu anlegen.
Rank Math empfiehlt eine Sicherung aus der Zeit vor dem Vorfall und neue Passwörter.

Was richtet die manipulierte Version an?

Karton mit orangem Band, Dietrich steckt darin, Etikett „Geprüfte Ware“ — Schadsoftware verschafft sich dauerhaften Zugang zu Webservern und stiehlt Zugangsdaten, API-Schlüssel und vertrauliche Informationen über versteckte Administrator-Konten

Laut Wordfence kann sich die Schadsoftware dauerhaft Zugang verschaffen und Verbindung mit einem fremden Server aufnehmen. Gefährdet sind dann Zugangsdaten, API-Schlüssel und alle übrigen vertraulichen Daten, die der Webserver lesen kann.^[2] Als Spuren nennt Rank Math unter anderem Administratorkonten mit dem Namensanfang „wpsupport_“ und eine als WordPress-Systemdatei getarnte Datei class-wp-cache-util.php im Ordner wp-includes.^[1]

Bei jedem Seitenaufruf kann der Schadcode seine Hintertür neu anlegen. Rank Math nennt deshalb eine feste Reihenfolge: zuerst den Plugin-Ordner rank-math-pro und drei Datenbankeinträge löschen, erst danach die übrigen Dateien säubern.^[1] Wie viele Websites betroffen sind und wie die Angreifer vorgingen, nennt der Hersteller nicht.

Warum trifft ein solcher Angriff Premium-Plugins so hart?

Kostenpflichtige Erweiterungen beziehen ihre Updates nicht aus dem Plugin-Verzeichnis von wordpress.org, sondern vom Server des Herstellers. Prüfsummen für den Abgleich mit dem Original liegen nicht für jedes Premium-Plugin vor, Rank Math verweist auf ein sauberes Paket aus dem Kundenkonto.^[1] Kapern Angreifer diesen Lieferweg, verteilen automatische Updates den Schadcode binnen Stunden. Version 3.0.123 erschien laut Changelog schon am 7. Oktober.^[3] Über einen Befall entscheidet deshalb der Zeitpunkt des Downloads, nicht die Versionsnummer.

Der Fall folgt einem Muster. Im Juli 2025 bestätigte Patchstack eine Hintertür in Paketen von Gravity Forms, die Kunden von der Website des Herstellers geladen hatten.^[4] Im Mai berichtete Dr. Web, wie ein Angreifer nach dem Kauf einer Plugin-Sammlung 400.000 WordPress-Websites infiltrierte. Vier Lücken in der Gratisversion hatte Rank Math schon am 6. Oktober geschlossen.

Rank Math SEO PRO 3.0.123 im Steckbrief

Schweregrad, Zeitfenster und Ablauf des Vorfalls, Stand 17. Oktober 2026

9,8

Punkte nach CVSS 3.1 vergibt Wordfence, die Stufe kritisch

11 Std. 10 Min.

lang konnten Downloads und Updates laut Rank Math verseuchte Pakete liefern

3.0.124

heißt der saubere Ersatz, erhältlich nur im Rank-Math-Kundenkonto

4 Mio.+

aktive Installationen der Gratisversion laut wordpress.org, als betroffen nicht genannt

Von der Veröffentlichung bis zur Warnung

7. Oktober

Veröffentlichung

Version 3.0.123 erscheint laut Changelog

15. Oktober, 22:02

Zeitfenster beginnt

Ein Teil der neu geladenen Pakete von 3.0.123 enthält die Hintertür

16. Oktober, 9:12

Zeitfenster endet

Am selben Tag erscheint 3.0.124 als sauberer Ersatz

16. Oktober, 22:32

Hinweis

Der Hersteller veröffentlicht Spurenliste und Anleitung zur Bereinigung

17. Oktober

Warnung

Wordfence warnt öffentlich und führt den Fall als CVE-2026-111862

Der Update-Server eines Plugin-Herstellers wirkt wie ein Generalschlüssel für sämtliche Kundenwebsites.
Markus Seyfferth, Chefredakteur Dr. Web

Was müssen Betreiber jetzt tun?

Zeitpunkt prüfen: Klären Sie, wann 3.0.123 auf die Website kam. War ein Paket aus dem Zeitfenster nie aktiviert, genügen Löschen, Neuinstallation von 3.0.124 und ein Scan.^[1]
Backup einspielen: War das Paket aktiv, stellen Sie Website und Datenbank aus einer Sicherung wieder her, die älter ist als das Zeitfenster. Werkzeuge zeigt der Vergleich der Backup-Plugins für WordPress.
Zugänge erneuern: Ersetzen Sie Passwörter, Datenbank-Zugang, Sicherheitsschlüssel in wp-config.php, API-Schlüssel sowie Hosting-, FTP- und SSH-Zugänge.
Sauber beziehen: Laden Sie 3.0.124 nur nach direkter Anmeldung auf rankmath.com. Download-Links verschickt Rank Math nach eigener Aussage nie per E-Mail.^[1]
Melden: Gelangten Kundendaten an Fremde, prüfen Sie die Meldung nach Art. 33 DSGVO binnen 72 Stunden.^[6]

Seit dem 11. September 2026 verlangt der Cyber Resilience Act von Herstellern nach einem schwerwiegenden Sicherheitsvorfall binnen 24 Stunden eine Frühwarnung an die nationale Meldestelle und die ENISA.^[5] Agenturen gleichen zuerst die Update-Protokolle aller Pro-Installationen mit dem Zeitfenster ab. Viele Tarife im WordPress-Hosting-Vergleich enthalten tägliche Server-Backups.

FAQ: Rank Math Pro: Update 3.0.123 brachte Schadcode auf WordPress-Websites

Welche Version von Rank Math SEO PRO ist betroffen?

Betroffen sind Pakete der Version 3.0.123, die zwischen dem 15. Oktober 2026 um 22:02 Uhr und dem 16. Oktober um 9:12 Uhr (MESZ) heruntergeladen oder per Update installiert wurden. Pakete von 3.0.123 aus der Zeit davor nennt Rank Math nicht als betroffen. Sauber ist Version 3.0.124.

Ist die kostenlose Version von Rank Math betroffen?

Rank Math und Wordfence nennen nur die kostenpflichtige Erweiterung Rank Math SEO PRO als betroffen. Die Gratisversion aus dem Plugin-Verzeichnis mit mehr als 4 Millionen aktiven Installationen taucht in beiden Hinweisen nicht als betroffen auf.

Reicht ein Update auf Version 3.0.124?

Nein, sobald ein verseuchtes Paket aktiv war. Der Schadcode kann laut Rank Math weitere Dateien, Administratorkonten und zeitgesteuerte Aufgaben hinterlassen haben. Der Hersteller empfiehlt ein Backup aus der Zeit vor dem 15. Oktober um 22:02 Uhr und neue Passwörter für alle Zugänge.

Woran erkennen Betreiber einen Befall?

Rank Math nennt unter anderem unbekannte Administratorkonten mit dem Namensanfang „wpsupport_“, die als WordPress-Systemdatei getarnte Datei class-wp-cache-util.php im Ordner wp-includes und PHP-Dateien im Upload-Ordner. Fehlen diese Spuren, ist die Website damit noch nicht als sauber belegt.

Woher bekommen Kunden die saubere Version?

Version 3.0.124 steht im Kundenkonto auf rankmath.com bereit, erreichbar nach direkter Anmeldung auf der Website. Login- oder Download-Links verschickt Rank Math nach eigener Aussage nie per E-Mail. Solche Mails gelten deshalb als verdächtig.