Ist die kostenlose Version von Rank Math betroffen?

Nein. Laut Rank Math ist die kostenlose Version „Rank Math SEO“ aus dem WordPress.org-Verzeichnis nicht betroffen, es ist nichts zu tun. Betroffen ist nur das kostenpflichtige Rank Math PRO in Version 3.0.123, und nur Kopien, die im Zeitfenster vom 15. Oktober 2026, 22:02 Uhr, bis 16. Oktober 2026, 9:12 Uhr (deutsche Zeit), heruntergeladen oder als Update eingespielt wurden.

Ich habe schon auf 3.0.124 aktualisiert. Bin ich damit sicher?

Nicht unbedingt. Das Update ersetzt nur die Plugin-Dateien. Hintertüren in anderen Ordnern, neue Administratoren und geplante Aufgaben, die der Schadcode angelegt hat, bleiben bestehen. War 3.0.123 aus dem Zeitfenster bei Ihnen aktiviert, behandelt Rank Math die Website als kompromittiert, auch nach dem Update.

Woran erkenne ich, ob ich die verseuchte Version hatte?

An der Versionsnummer allein nicht: 3.0.123 erschien am 7. Oktober, Kopien von vor dem 15. Oktober, 22:02 Uhr, sind sauber. Entscheidend ist, wann das Update eingespielt wurde. Hinweise geben das Änderungsdatum des Ordners rank-math-pro (per FTP oder Dateimanager), ein Aktivitätsprotokoll-Plugin, die Backups Ihres Hosters und eine E-Mail von Rank Math. Zusätzlich sollten Sie die Einbruchsspuren in diesem Artikel prüfen.

Reicht es, das Plugin zu deaktivieren?

Nein. Rank Math schreibt ausdrücklich, dass Deaktivieren nicht genügt. Löschen Sie den gesamten Ordner rank-math-pro, entfernen Sie die drei Einträge in der Tabelle wp_options und installieren Sie danach 3.0.124 direkt aus Ihrem Rank-Math-Konto.

Welche Daten können die Angreifer haben?

Alles, was der Webserver lesen kann: WordPress-Passwörter, die Zugangsdaten zur Datenbank in der wp-config.php, API-Schlüssel etwa für Zahlungsanbieter und E-Mail-Versand und je nach Website Kunden- und Bestelldaten. Rank Math empfiehlt, alle diese Zugänge zu ändern.

Muss ich den Vorfall der Datenschutzbehörde melden?

Wenn die Website kompromittiert war und personenbezogene Daten erreichbar waren, etwa Bestellungen, Kundenkonten oder Formulareinträge: in Deutschland und Österreich in der Regel ja, nach Art. 33 DSGVO binnen 72 Stunden, nachdem Sie davon erfahren haben, außer es besteht voraussichtlich kein Risiko für die Betroffenen. In der Schweiz gilt Art. 24 DSG bei voraussichtlich hohem Risiko. Das ist keine Rechtsberatung.

Findet der kostenlose PHP-Check von Zybee die Hintertür?

Nein. Unser PHP-Check zeigt nur, welche PHP-Version Ihre Website von außen meldet. Ob Rank Math PRO 3.0.123 Schadcode hinterlassen hat, sehen Sie nur in den Dateien und in der Datenbank Ihrer Website. Die Prüfschritte stehen in diesem Artikel.

Rank Math PRO Backdoor: Website prüfen und bereinigen

Wer Rank Math PRO nutzt und zwischen dem 15. Oktober 2026, 22:02 Uhr, und dem 16. Oktober 2026, 9:12 Uhr (deutsche Zeit) aktualisiert hat, hat womöglich Schadcode auf seiner WordPress-Website. Unbekannte hatten Rank Math PRO 3.0.123 über die offiziellen Download- und Update-Wege des Herstellers mit einer Hintertür verteilt. Rank Math hat das am 16. Oktober bestätigt.

Das Tückische: Das Update auf 3.0.124 entfernt die Hintertür nicht. Der Schadcode legt Kopien in anderen Ordnern ab, erstellt Administratoren und richtet geplante Aufgaben ein. Dieser Artikel zeigt, ob Sie betroffen sind, was Sie prüfen und wie Sie die Website bereinigen.

Das Wichtigste in Kürze

Betroffen: nur Rank Math PRO 3.0.123, heruntergeladen oder als Update eingespielt am 15./16. Oktober 2026 (22:02 bis 9:12 Uhr deutscher Zeit). Die kostenlose Version aus WordPress.org ist nicht betroffen.

War die Version aktiviert: Website als kompromittiert behandeln, auch wenn sie inzwischen auf 3.0.124 läuft.

Erst Reinfektion stoppen: Ordner rank-math-pro komplett löschen (Deaktivieren reicht nicht), drei Einträge in wp_options löschen, Verbindungen zu rank1cdn.com sperren.

Dann suchen und bereinigen: fremde Admins (wpsupport_…), die Datei wp-includes/class-wp-cache-util.php, PHP in .cache-Dateien, Cronjobs mit #ms6v46.

Alle Zugänge ändern: WordPress, Datenbank, Sicherheitsschlüssel, API-Schlüssel, Hosting, FTP und SSH.

Keine Zeit oder kein Entwickler? Wir bereinigen Ihre Website, mit Angebot vorab.

Rank Math PRO 3.0.123: Was ist passiert?

Rank Math ist eines der meistgenutzten SEO-Plugins für WordPress. Die kostenlose Version hat laut WordPress.org über 4 Millionen aktive Installationen. Wie viele Websites die kostenpflichtige PRO-Version nutzen, ist nicht bekannt.

Laut der Sicherheitsmeldung von Rank Math enthielten Kopien von Rank Math PRO 3.0.123, die zwischen dem 15. Oktober 2026, 20:02 UTC, und dem 16. Oktober 2026, 07:12 UTC, von rankmath.com heruntergeladen oder als Update ausgeliefert wurden, Schadcode. Das sind gut elf Stunden. Wordfence führt den Vorfall als CVE-2026-111862 als kritisch (CVSS 9,8 von 10), Patchstack stuft ihn als Hintertür ein. Die bereinigte Version ist 3.0.124.

Offen ist, wie der Schadcode in die Downloads kam, wie viele Kunden ihn erhalten haben und ob automatische Updates ihn eingespielt haben. Das hat Rank Math bisher nicht veröffentlicht. Rank Math gehört zur schwedischen Hosting-Gruppe group.one.

Rank Math PRO ist laut The Hacker News mindestens der dritte Fall in diesem Jahr, in dem ein Premium-Plugin über den offiziellen Update-Weg des Herstellers mit Hintertür ausgeliefert wurde.

Ist meine Website betroffen?

Rank Math unterscheidet drei Fälle:

Ihr Fall	Was Rank Math sagt	Was Sie tun
3.0.123 aus dem Zeitfenster installiert und aktiviert	Website als kompromittiert behandeln	Bereinigen (unten) und alle Zugänge ändern, auch wenn schon 3.0.124 läuft
3.0.123 aus dem Zeitfenster installiert, aber nie aktiviert	Dateien löschen, 3.0.124 aus dem Konto installieren, vorsorglich scannen	Ordner `rank-math-pro` löschen, sauber neu installieren, Spuren prüfen
3.0.123 nur heruntergeladen, nie installiert	Kein Hinweis auf Kompromittierung durch diesen Vorfall	Datei löschen, 3.0.124 aus dem Konto laden
Nur die kostenlose Version von WordPress.org	Nicht betroffen	Nichts

Die Versionsnummer allein sagt nichts. Rank Math PRO 3.0.123 erschien am 7. Oktober; wer es vor dem 15. Oktober, 22:02 Uhr, eingespielt hat, hat eine saubere Kopie. Wichtig ist der Zeitpunkt des Updates. So finden Sie ihn heraus:

E-Mail von Rank Math: Der Hersteller hat einen Teil der betroffenen Kunden angeschrieben. Prüfen Sie auch den Spam-Ordner. Klicken Sie aber nicht auf Links in solchen Mails, sondern melden Sie sich direkt auf rankmath.com an: Rank Math verschickt nach eigener Aussage keine Login- oder Download-Links per E-Mail.
Änderungsdatum des Ordners wp-content/plugins/rank-math-pro im Dateimanager Ihres Hosters oder per FTP.
Aktivitätsprotokoll, falls Sie ein Plugin wie WP Activity Log oder Simple History nutzen.
Backups Ihres Hosters: Welche Version enthält das Backup vom 15. Oktober und welche das vom 16. Oktober?

Sind Sie unsicher, prüfen Sie die Einbruchsspuren im nächsten Abschnitt. Wordfence warnt allerdings: Finden Sie keine davon, ist die Website damit nicht sicher sauber.

Rank Math Backdoor erkennen: Diese Spuren hinterlässt der Schadcode

Rank Math und Wordfence nennen folgende Anzeichen. Am schnellsten prüfen Sie die ersten drei:

Administratoren, deren Benutzername mit wpsupport_ beginnt oder deren E-Mail-Adresse auf @wp-mail.net endet. Zu sehen unter Benutzer → Alle Benutzer → Administrator.
Drei Einträge in der Datenbanktabelle wp_options (das Präfix wp_ kann bei Ihnen anders heißen) mit diesen Namen in der Spalte option_name: _uf6qdn2hmm, t8krdk990phb, _np5pvf754c. In phpMyAdmin finden Sie sie mit:
```
SELECT option_name FROM wp_options
WHERE option_name IN ('_uf6qdn2hmm', 't8krdk990phb', '_np5pvf754c');
```
Die Datei wp-includes/class-wp-cache-util.php. Sie gehört nicht zu WordPress.
.cache-Dateien mit PHP-Code und Regeln in der .htaccess, die .cache-Dateien als PHP ausführen.
Verdächtige PHP-Dateien in wp-content/mu-plugins/, in den Ordnern anderer Plugins, in den Unterordnern inc/, includes/ und lib/ von Themes, im Ordner includes/ von Rank Math und in wp-content/uploads/. Typisch sind base64_decode zusammen mit XOR-Schleifen, der Schlüssel xmmqhn und proc_open.
Geplante Aufgaben: Cronjobs des Webserver-Benutzers mit der Markierung #ms6v46, außerdem unbekannte WordPress-Aufgaben (mit WP-CLI: wp cron event list).
Fremde SSH-Schlüssel in ~/.ssh/authorized_keys, falls Ihr Hosting SSH erlaubt.
Verbindungen zur Domain rank1cdn.com. Sie wurde laut The Hacker News am 14. Oktober registriert, einen Tag vor Beginn der Verteilung.

Rank Math Malware entfernen: Website bereinigen

Am sichersten: Backup von vor dem Angriff. Rank Math empfiehlt, Dateien und Datenbank aus einem Backup von vor dem 15. Oktober 2026, 22:02 Uhr (deutsche Zeit) einzuspielen. Danach scannen, alle Zugänge ändern und 3.0.124 aus Ihrem Rank-Math-Konto installieren. Inhalte und Bestellungen, die seitdem dazukamen, müssen Sie nachtragen.

Ohne sauberes Backup gehen Sie in dieser Reihenfolge vor. Die ersten drei Schritte verhindern, dass der Schadcode sich während der Bereinigung neu anlegt:

Ordner wp-content/plugins/rank-math-pro komplett löschen, per FTP oder Dateimanager. Rank Math: „Deactivating the plugin alone is not sufficient“, Deaktivieren reicht nicht.
Die drei Einträge in wp_options löschen (Namen oben).
Ausgehende Verbindungen zu rank1cdn.com sperren, wenn Ihr Hoster oder Ihre Firewall das erlaubt.
Spuren suchen und entfernen: fremde Administratoren, die falsche Kerndatei, .htaccess-Regeln, .cache-Dateien, Cronjobs, SSH-Schlüssel. Ersetzen Sie die Ordner wp-admin und wp-includes am besten durch frische Kopien.
Alle Zugänge ändern (nächster Abschnitt).
Rank Math PRO 3.0.124 neu installieren, und zwar nur nach direkter Anmeldung auf rankmath.com.
Prüfen: Sicherheitsscan, mit WP-CLI wp core verify-checksums und wp plugin verify-checksums --all. Für Rank Math PRO selbst gibt es keine öffentlichen Prüfsummen. Beobachten Sie danach einige Tage, ob Dateien zurückkommen.

Kommt der Schadcode zurück, ist noch eine Hintertür übrig. Mehr zum Vorgehen bei gehackten Websites, zur Google-Warnung und zur Meldepflicht steht in unserem Leitfaden Website gehackt: Was tun?.

Nach dem Rank-Math-Hack: Diese Zugänge müssen Sie ändern

Der Schadcode lief mit den Rechten Ihrer Website. Alles, was die Website lesen konnte, sollten Sie als bekannt ansehen. Rank Math nennt:

WordPress-Passwörter aller Benutzer
Datenbank-Benutzer und -Passwort in der wp-config.php
Sicherheitsschlüssel und Salts in der wp-config.php (meldet alle Benutzer ab)
API-Schlüssel: Zahlungsanbieter wie Stripe oder PayPal, E-Mail-Versand (SMTP), weitere Dienste
Hosting-Kundenmenü, FTP/SFTP und SSH
Geheimnisse in Umgebungsvariablen
Zwei-Faktor-Anmeldung der Administratoren neu einrichten

Ändern Sie die Zugänge, nachdem Sie die ersten drei Schritte der Bereinigung erledigt haben. Läuft die Hintertür noch, können die Angreifer die neuen Zugangsdaten gleich wieder auslesen.

Meldepflicht nach DSGVO und DSG

Waren auf der Website personenbezogene Daten erreichbar, etwa WooCommerce-Bestellungen, Kundenkonten, Formulareinträge oder Newsletter-Listen, kann eine Meldepflicht bestehen: in Deutschland und Österreich nach Art. 33 DSGVO binnen 72 Stunden, nachdem Sie vom Vorfall erfahren haben, in der Schweiz nach Art. 24 DSG bei voraussichtlich hohem Risiko. Notieren Sie, wann Sie davon erfahren haben und was Sie geprüft haben. Einzelheiten stehen im Abschnitt zur Meldepflicht in unserem Leitfaden für gehackte Websites. Das ist keine Rechtsberatung.

Was Sie daraus mitnehmen

Diesmal kam der Schadcode nicht über eine Lücke, sondern über den offiziellen Update-Weg. Gegen so etwas helfen Updates allein nicht. Was hilft:

Backups mit mehreren Ständen über mindestens 30 Tage, außerhalb des Webspace. Sonst ist der letzte saubere Stand schon überschrieben, wenn Sie von einem Vorfall erfahren.
Ein Aktivitätsprotokoll, das Updates, neue Benutzer und Dateiänderungen aufzeichnet.
Sicherheitsnachrichten der Plugin-Hersteller lesen, deren kostenpflichtige Plugins Sie nutzen.
Ungenutzte Plugins löschen. Jedes Plugin ist ein weiterer Weg auf Ihre Website.

Wie Sie Ihre Website regelmäßig von außen prüfen, zeigt unser Artikel 8 kostenlose Checks für Ihre Website-Sicherheit. Läuft Ihre Website noch mit einer alten PHP-Version, ist das die nächste offene Tür: PHP-Version kostenlos prüfen.

Sie möchten das nicht allein machen? Wir prüfen und bereinigen Ihre Website und sagen Ihnen vorher, was es kostet. Hilfe anfragen.

Rank Math PRO 3.0.123 mit Hintertür: So prüfen Sie Ihre WordPress-Website