Rank Math SEO: PHP Object Injection führt zu Remote Code Execution

Zusammenfassung

Das Plugin Rank Math SEO für WordPress ist von PHP Object Injection betroffen, die durch unsichere Deserialisierung von nicht vertrauenswürdigen Eingaben im updateMeta-REST-API-Endpunkt entsteht. Ein authentifizierter Angreifer mit Contributor-Rechten oder höher kann ein PHP-Objekt einschleusen. Falls auf der Website eine passende POP-Kette vorhanden ist, kann der Angreifer durch das Ablegen einer Webshell im Uploads-Verzeichnis Remote Code Execution erreichen.

Betroffen

• Rank Math SEO – AI SEO Tools to Dominate SEO Rankings (WordPress-Plugin), alle Versionen bis und mit 1.0.276

Behoben in

• Unbekannt. Weder der CVE-Eintrag noch die geprüften Quellen nennen eine korrigierte Version für diese CVE.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Bis eine korrigierte Version bestätigt ist: Rank Math auf die neueste Version aktualisieren, nicht benötigte Konten mit Contributor-Rechten oder höher entfernen oder herabstufen und die letzten Beitrags- und Meta-Änderungen von Mitwirkenden überprüfen.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• Keine bekannte Ausnutzung in freier Wildbahn.
• Laut einem Tracker-Eintrag nicht im CISA-KEV-Katalog aufgeführt (nicht direkt geprüft).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS 0.54 % (die Quellen widersprechen sich bei diesem Wert).

Unsere Empfehlung

• Rank Math SEO auf die neueste Version von WordPress.org aktualisieren und die korrigierte Version auf der Wordfence-Seite bestätigen.
• Konten mit Contributor-Rechten oder höher prüfen und nicht benötigte Konten entfernen.
• Nicht benötigte Plugins und Themes entfernen, um das Risiko einer nutzbaren POP-Kette zu verringern.
• Öffentlich erreichbare Multi-Autoren-WordPress-Websites priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• WordPress plugin changeset 3666725 plugins.trac.wordpress.org
• Rank Math class-sanitize.php (tag 1.0.263) plugins.trac.wordpress.org
• Rank Math class-shared.php (tag 1.0.263) plugins.trac.wordpress.org
• VulDB CVE-2026-1928 vuldb.com
• Vulners NVD record CVE-2026-1928 vulners.com
• WPScan Rank Math SEO plugin wpscan.com
• GitHub CVE tracker issue 3371 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:41.