Rank Math SEO PRO: Eingebettete Schadsoftware durch Supply-Chain-Kompromittierung in Version 3.0.123

Zusammenfassung

Rank Math SEO PRO Pakete der Version 3.0.123, die im Zeitraum von rund 11 Stunden am 15. und 16. Oktober 2026 heruntergeladen oder aktualisiert wurden, enthielten eingebettete Schadsoftware. Wurde ein betroffenes Paket aktiviert, kann die Schadsoftware dauerhaften Zugriff herstellen, versteckte Backdoors bei Seitenaufrufen neu erstellen und WordPress- und Datenbank-Zugangsdaten, API-Schlüssel sowie weitere Geheimnisse offenlegen, die für den Webserver erreichbar sind. Der Hersteller empfiehlt, solche Websites als kompromittiert zu behandeln; die kostenlose Rank Math SEO Version ist nicht betroffen.

Betroffen

• Rank Math SEO PRO Version 3.0.123 Pakete, die zwischen dem 15. Oktober 2026, 20:02 UTC, und dem 16. Oktober 2026, 07:12 UTC, bezogen wurden
• Nur Websites, auf denen ein betroffenes Paket aktiviert wurde, gelten als kompromittiert; die Version 3.0.123 allein ist kein Beleg für eine Kompromittierung
• Die kostenlose Rank Math SEO Version auf WordPress.org ist nicht betroffen

Behoben in

• Rank Math SEO PRO Version 3.0.124 (saubere Ersatzversion; die betroffenen Dateien wurden vom Hersteller entfernt)
• Ein Update allein entfernt keine Schadsoftware, die bereits auf einer Website abgelegt wurde

Umgehung

• Kein Workaround entfernt eine bestehende Infektion.
• Eine WAF-Regel ist laut Patchstack keine Gegenmassnahme.
• Übergangsweise: ausgehende Verbindungen zu rank1cdn.com an der Firewall oder im DNS blockieren.

Ausnutzung

• Der Hersteller bestätigt, dass in den betroffenen Paketen Schadcode verteilt wurde.
• Die Berichte widersprechen sich: Einige Medien schreiben, die Schwachstelle werde aktiv ausgenutzt, während VulDB und Hol.org keine bekannte Ausnutzung angeben. Die CISA-SSVC-Bewertung lautet Exploitation: none.
• Der Angriffsweg in die Systeme des Herstellers ist unbekannt.

Unsere Empfehlung

• Prüfen, ob PRO Version 3.0.123 im Zeitraum installiert oder aktualisiert und ob sie aktiviert wurde.
• Bei aktivierten Installationen die Website als kompromittiert behandeln: Backup von vor dem 15. Oktober 2026, 20:02 UTC einspielen oder das vollständige Wiederherstellungsverfahren des Herstellers befolgen, danach alle Zugangsdaten, Datenbankpasswörter und API-Schlüssel erneuern.
• Bei inaktiven Installationen die Plugin-Dateien löschen, einen Sicherheitsscan durchführen und Version 3.0.124 über das Rank-Math-Konto installieren.
• Nach den Indikatoren des Herstellers suchen, unter anderem nach verdächtigen wp_options-Schlüsseln, unbekannten Administratorkonten und der gefälschten Datei wp-includes/class-wp-cache-util.php.
• Firewall- und DNS-Protokolle auf Verbindungen zu rank1cdn.com prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Rank Math PRO 3.0.123 Security Incident (vendor advisory) rankmath.com
• Rank Math changelog rankmath.com
• Wordfence threat intelligence record www.wordfence.com
• Verisign RDAP record for rank1cdn.com rdap.verisign.com
• VulDB record vuldb.com
• Hol.org CVE record hol.org
• Strix CVE record www.strix.ai
• Freshysites security bulletin freshysites.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:25.