Rank Math Supply-Chain-Angriff trifft WordPress

Ein Rank Math Supply-Chain-Angriff hat Schadcode in den Update-Kanal des Premium-Plugins gebracht: Version 3.0.123 von Rank Math PRO, heruntergeladen oder aktualisiert zwischen dem 15. Oktober (20:02 UTC) und dem 16. Oktober (07:12 UTC), enthielt eine Backdoor. Das Zeitfenster dauerte rund 11 Stunden. Der saubere Build des Herstellers ist 3.0.124, und das kostenlose Plugin von WordPress.org ist nicht betroffen.

Was ist passiert: Der Rank Math Supply-Chain-Angriff

Rank Math erklärt, der manipulierte Build könne eine Website kompromittieren, sobald das Plugin aktiviert wurde. Die CVE lautet CVE-2026-111862. Laut Herstellerhinweis legt die Schadsoftware eine versteckte Backdoor bei jedem Seitenaufruf eines Besuchers neu an, weshalb das Löschen einzelner Dateien nicht hilft. Sie erstellt außerdem Administratorkonten und kontaktiert eine Domain der Angreifer. Der Hersteller nennt diese Indikatoren: ausgehenden Verkehr zu rank1cdn[.]com, Administratorkonten, deren Namen mit wpsupport_ beginnen, die Mail-Domain wp-mail[.]net, eine gefälschte Core-Datei wp-includes/class-wp-cache-util.php, .cache-Dateien, die über .htaccess als PHP ausführbar gemacht werden, und eine geplante Aufgabe mit der Kennung #ms6v46.

Folgen Sie dem aktuellen Herstellerhinweis, der sich ändern kann. Empfohlen ist die Wiederherstellung aus einem Backup vor dem Vorfall. Manuell löschen Sie zuerst den gesamten Ordner rank-math-pro und danach die drei vom Hersteller genannten wp_options-Einträge. Rank Math hat außerdem seine eigenen Systeme erneuert und Konten kostenloser Nutzer gelöscht, die zwischen dem 13. und 16. Oktober registriert wurden; Betroffene müssen ein neues Konto anlegen.

Warum das wichtig ist

Der Rank Math Supply-Chain-Angriff kam über den Weg, dem alle vertrauen sollen: das Plugin-Update. Premium-Plugins werden außerhalb der Prüfung von WordPress.org verteilt, und viele Seiten aktualisieren sie automatisch. Ein SEO-Plugin ist zudem ein Werkzeug, das ein Marketing-Team installiert, ohne dass die IT gefragt wird; die Seite steht dann womöglich auf keiner Asset-Liste.

Annahme: WordPress mit einigen kommerziellen Plugins ist in DACH bei kleinen und mittleren Unternehmen ein verbreiteter Web-Stack. Eine kompromittierte Seite ist auch eine DSGVO-Frage: Verarbeitet sie Kundendaten, Formulareingaben oder Bestelldaten, sind die erreichbaren Geheimnisse offengelegt, und die Meldefristen laufen ab dem Zeitpunkt, an dem Sie davon erfahren.

Was Sie jetzt tun sollten

1. Version und Datum prüfen. Schauen Sie in der WordPress-Plugin-Liste, welche Version von Rank Math PRO installiert ist und wann sie zuletzt aktualisiert wurde. Eine Seite, auf der 3.0.123 im genannten Zeitfenster lief, und sei es nur kurz, gilt als kompromittiert. Das Update auf 3.0.124 allein entfernt die Backdoor nicht.
2. Nach Herstellervorgabe bereinigen. Stellen Sie, wo möglich, aus einem Backup vor dem 15. Oktober wieder her. Andernfalls folgen Sie den manuellen Schritten des Herstellers: erst den gesamten Ordner rank-math-pro löschen, dann die drei genannten wp_options-Einträge, damit sich die Backdoor nicht neu anlegen kann.
3. Alles rotieren, was die Seite erreicht. Ändern Sie WordPress-Administrator- und Datenbankpasswörter, erzeugen Sie die Security-Salts neu und ersetzen Sie API- und Zahlungsschlüssel, SMTP-Zugangsdaten sowie Hosting-Panel- und SSH-Zugänge.
4. Nach den Indikatoren suchen. Achten Sie auf Administratorkonten, die mit wpsupport_ beginnen, die gefälschte Cache-Datei, unerwartete geplante Aufgaben und ausgehende Anfragen zu den genannten Domains, und sichern Sie Logs für die Forensik.

DIESEC Perspektive

Der Rank Math Supply-Chain-Fall zeigt: Automatische Updates bedeuten Vertrauen in den Release-Kanal des Herstellers. Führen Sie jedes kommerzielle Plugin mit Verantwortlichem in der Asset-Liste, spielen Sie Updates bei wichtigen Seiten zuerst auf einer Testkopie ein und halten Sie einen getesteten Wiederherstellungspunkt vor dem letzten Update bereit.

Unsicher, welche Plugins Ihre WordPress-Seiten nutzen oder ob eines den manipulierten Build installiert hat? Kontaktieren Sie DIESEC für einen WordPress-Exposure-Check mit Kompromittierungsanalyse.

Quellen: Rank-Math-Sicherheitshinweis | The Hacker News
Veröffentlicht: 23.10.2026 | Kategorie: Supply-Chain-Sicherheit | ca. 4 Min. Lesezeit