Ein einfaches Mitarbeiter-Konto genügte, um über das SEO-Plugin Rank Math Programmcode auf dem Webserver abzulegen. Wordfence machte die Sicherheitslücke am 27. Oktober öffentlich und vergab 8,8 von 10 Punkten. Den Fehler behebt Version 1.0.277 vom 26. August, doch wie viele der mehr als 4 Millionen Installationen noch eine ältere Version nutzen, lässt sich der Statistik von wordpress.org nicht entnehmen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenWann haben Sie zuletzt nachgesehen, wer auf Ihrer Website Beiträge anlegen darf? Gastautoren, freie Texter und Agenturen arbeiten in WordPress oft mit der Rolle „Mitarbeiter“, die Entwürfe schreiben, aber nicht veröffentlichen darf. Genau diese Rolle reichte in Rank Math bis Version 1.0.276 für einen Angriff auf den Server. Wordfence führt die Lücke als CVE-2026-1928, gemeldet hat den Fehler ein Sicherheitsforscher unter dem Pseudonym moochi.[1]
Das Wichtigste in Kürze
- Über Rank Math bis 1.0.276 können Konten ab der Rolle Mitarbeiter Schadcode auf dem Server ablegen (CVSS 3.1: 8,8, vergeben von Wordfence).
- Version 1.0.277 vom 26. August behebt den Fehler, aktuell ist Version 1.0.280.
- Ohne Anmeldung lässt sich die Lücke nicht ausnutzen.
- Angriffe sind bis zum 28. Oktober nicht bekannt.
Wie gelangt über den Editor Schadcode auf den Server?
Rank Math prüfte beim Speichern von Schema-Daten nicht, wem der Datensatz gehört. Über die Seitenleiste im Editor legen Autoren strukturierte Daten für Google an, etwa für Rezepte oder FAQ. Ein Vergleich des Quellcodes beider Versionen zeigt zwei Korrekturen: Version 1.0.277 überschreibt einen Schema-Datensatz nur noch, wenn er zum bearbeiteten Beitrag gehört, und wandelt gespeicherte Werte nicht mehr ungeprüft in PHP-Objekte zurück.[2]
Dieses Zurückwandeln heißt Deserialisierung und ist die Wurzel jeder PHP-Objekt-Injektion. Gelangt ein präparierter Text in diesen Schritt, erzeugt PHP daraus Objekte beliebiger geladener Klassen. Findet der Angreifer in vorhandenem Code eine Folge von Methoden, die PHP bei solchen Objekten automatisch ausführt, kann er laut Wordfence eine Webshell im Upload-Verzeichnis ablegen.[1] Über diese Datei steuert der Angreifer den Server.
Warum häufen sich bei Rank Math die Sicherheitslücken?
Im Mittelpunkt stand dieselbe Schnittstelle schon im März 2020: Damals fehlte jede Rechteprüfung und Fremde konnten ohne Anmeldung Administratorrechte vergeben (CVE-2020-11514, CVSS 9,8).[3] Version 1.0.277 schloss neben CVE-2026-1928 mindestens fünf weitere Lücken, die Wordfence zwischen dem 31. August und dem 3. September beschrieb.[1] Im Oktober folgten vier Lücken mit Korrektur in Version 1.0.280 und ein Update mit Schadcode für die Pro-Version.
Im Backup-Plugin Duplicator genügte für eine Objekt-Injektion ein Kommentar ohne Anmeldung, in Kirki reichte ein Abonnenten-Konto. Zwischen Korrektur und Veröffentlichung der Details lagen bei Rank Math 62 Tage. Die Statistik von wordpress.org fasst alle Versionen 1.0.x zusammen und zeigt deshalb nicht, wie viele Websites das Update noch nicht eingespielt haben.[2]
Die Lücke im Zeitverlauf
Status: offengelegt, Patch verfügbar, Angriffe nicht bekannt. Den Anteil veralteter Installationen weist wordpress.org nicht aus.
Ein Gastautor soll Entwürfe liefern, keine Dateien auf dem Server ablegen. Diese Grenze muss in WordPress jedes Plugin selbst ziehen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie Rank Math auf Version 1.0.280 und prüfen Sie unter Plugins, ob automatische Updates aktiv sind.
- Konten sichten: Löschen Sie verwaiste Konten früherer Gastautoren und kontrollieren Sie unter Einstellungen, Allgemein, dass neue Nutzer bei der Registrierung die Rolle Abonnent erhalten.
- Uploads durchsuchen: PHP-Dateien im Ordner wp-content/uploads haben dort nichts verloren und deuten auf einen erfolgreichen Angriff hin.
- Datenschutz klären: Nach einem Angriff müssen Betreiber die Datenpanne meist binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO).[5]
Die US-Behörde CISA führt CVE-2026-1928 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.[4] Agenturen sollten Kundenwebsites mit externen Redaktionskonten zuerst aktualisieren. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen, der Vergleich der WordPress-SEO-Plugins zeigt Alternativen.
FAQ: Rank Math mit über 4 Millionen Installationen: Schwere Sicherheitslücke öffnet Mitarbeiter-Konten den Server
Welche Version von Rank Math ist sicher?
Version 1.0.277 vom 26. August 2026 schließt die Sicherheitslücke CVE-2026-1928. Aktuell ist Version 1.0.280 vom 6. Oktober, die weitere Lücken behebt. Betroffen sind alle Versionen bis einschließlich 1.0.276.
Was darf die Rolle Mitarbeiter in WordPress?
Mitarbeiter schreiben und bearbeiten eigene Beiträge, dürfen sie aber weder veröffentlichen noch Dateien hochladen. Viele Websites vergeben diese Rolle an Gastautoren, freie Texter oder Agenturen.
Ist meine Website ohne Gastautoren betroffen?
Ohne Konten ab der Rolle Mitarbeiter fehlt Angreifern der Zugang für CVE-2026-1928. Ein gestohlenes Passwort eines solchen Kontos genügt allerdings. Das Update auf Version 1.0.280 bleibt deshalb für alle Websites mit Rank Math nötig.
Wird die Sicherheitslücke in Rank Math schon ausgenutzt?
Bis zum 28. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-1928 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Seit Wordfence die Lücke am 27. Oktober beschrieben hat, kennen aber auch Angreifer die Details.
Woran erkenne ich eine Webshell auf meinem Server?
Typisch sind PHP-Dateien im Ordner wp-content/uploads, unbekannte Administratoren und Dateien mit frischem Änderungsdatum. Im Verdachtsfall ändern Sie alle Passwörter, beenden die Sitzungen und stellen die Website aus einer sauberen Sicherung wieder her.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WordfenceRank Math SEO <= 1.0.276 – Authenticated (Contributor+) PHP Object Injection to Remote Code Execution, veröffentlicht am 27. Oktober 2026, aktualisiert am 28. Oktober 2026, mit Liste früherer Sicherheitslücken; dazu NVD: CVE-2026-1928
- wordpress.orgRank Math SEO, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 28. Oktober 2026; Quellcode der Versionen 1.0.276 und 1.0.277 aus dem Plugin-Verzeichnis
- WordfenceRank Math SEO <= 1.0.40.2 – Privilege Escalation via Unprotected REST API Endpoint, veröffentlicht am 25. März 2020
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 28. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
- Analytics Insights mit über 10.000 Installationen: schwere Sicherheitslücke über Google Analytics
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- Prime Mover mit über 10.000 Installationen: kritische Sicherheitslücke beim Backup
- Rank Math mit über 4 Millionen Installationen: vier Lücken, eine davon ohne Login
