Ausgerechnet das Werkzeug, das deine Seite bei Google nach vorne bringen soll, wurde zur offenen Tür für Angreifer. Rank Math SEO PRO, eines der populäreren SEO-Plugins für WordPress, wurde über einen gekaperten Update-Kanal mit Schadcode infiziert — mit einer CVSS-Wertung von 9,8.
ELF STUNDEN, DIE ZÄHLEN
Die Sicherheitsfirma Wordfence hat die Kompromittierung unter der Kennung CVE-2026-111862 dokumentiert. Betroffen ist ausschließlich die Version 3.0.123 — und zwar nur jene Pakete, die in einem exakt eingegrenzten Zeitfenster heruntergeladen oder per Update installiert wurden: zwischen 15. Oktober, 20:02 UTC, und 16. Oktober, 07:12 UTC. Wer in dieser knapp elfstündigen Lücke aktualisiert hat, bekam eine trojanisierte Datei statt des echten Plugins.
WAS DIE SCHADSOFTWARE WIRKLICH KANN
Laut Wordfence baut die eingeschleuste Komponente dauerhaften Zugriff auf — sie kann versteckte Backdoors neu anlegen, selbst wenn die Originaldatei längst gelöscht ist, zusätzliche Admin-Konten einrichten und Zugangsdaten und andere Geheimnisse auslesen, auf die der Webserver Zugriff hat. Damit ist nicht nur die eine Website betroffen, sondern potenziell jede Datenbank, jedes API-Secret und jedes Mail-Postfach, das der Server sonst noch verwaltet.
WARUM EIN EINFACHES UPDATE JETZT NICHT REICHT
Rank Math hat die verseuchten Dateien entfernt und Version 3.0.124 als saubere Version veröffentlicht. Das Problem: Ein Update allein entfernt die bereits gelegte Hintertür nicht. Wurde im Risikofenster aktualisiert, kann der Angreifer längst eigene Dateien, Accounts oder geplante Aufgaben hinterlegt haben, die ein simples Plugin-Update nie berührt.
SO RETTEST DU DEINE SEITE RICHTIG
Rank Math selbst empfiehlt den harten Weg:
- Website und Datenbank aus einem Backup wiederherstellen, das vor dem 15. Oktober, 20:02 UTC, erstellt wurde — alles Neuere kann kontaminiert sein.
- Danach die komplette Seite scannen, bevor sie wieder online geht.
- Alle Passwörter und Zugangsdaten wechseln, auf die die Website Zugriff hatte — Datenbank, FTP, API-Schlüssel, Mail.
- Erst danach Rank Math SEO PRO 3.0.124 direkt aus deinem Rank-Math-Konto neu installieren, nicht über eine möglicherweise zwischengespeicherte Update-Quelle.
Wer kein Backup aus dieser Zeit hat, sollte die Seite händisch auf neue Admin-Konten, unbekannte Dateien im Plugin-Ordner und ungewöhnliche Cron-Einträge durchsuchen — im Zweifel hilft ein auf WordPress spezialisierter Malware-Scan.
WARUM DICH DAS AUCH OHNE RANK MATH INTERESSIEREN SOLLTE
Der Vorfall ist ein Lehrbuchbeispiel für eine Supply-Chain-Attacke: Nicht die Lücke im Code war das Problem, sondern der Verteilweg selbst. Wer ein Plugin automatisch aktualisieren lässt, vertraut nicht nur dem Hersteller, sondern jedem einzelnen Glied der Update-Infrastruktur dahinter. Je größer ein Plugin, desto lohnender das Ziel für Angreifer, die genau diesen Kanal kapern.