Rank Math PRO-Malware: So überprüfen und wiederherstellen Sie Ihre Websites

Am 15. und 16. Oktober 2026 enthielten einige offizielle Versionen von Rank Math PRO 3.0.123 Schadsoftware. Falls die Websites Ihrer Kunden Rank Math PRO verwenden, erfahren Sie hier, wie Sie die betroffenen Websites identifizieren, wie Sie diese bereinigen können und inwiefern WP Umbrella Ihnen dabei helfen kann.

Der Vorfall mit Rank Math PRO 3.0.123 im Detail

Am 15. Oktober 2026 haben Angreifer einige Exemplare von Rank Math PRO 3.0.123 mit Malware versehen. Diese Exemplare gelangten über Downloads von rankmath.com und normale Plugin-Updates auf Websites. Eine Website konnte die Malware also bereits durch ein ganz normales Plugin-Update installieren.

Rank Math hat das Problem am nächsten Morgen entdeckt, die fehlerhaften Dateien entfernt und eine fehlerfreie Version (3.0.124) veröffentlicht.

In Ortszeit erstreckte sich das Zeitfenster des Vorfalls in Paris von 22:02 Uhr bis 09:12 Uhr und in New York von 16:02 Uhr bis 03:12 Uhr.

Die Malware installierte eine Hintertür: einen versteckten Zugang zu den infizierten Websites, über den sich ein Angreifer ohne Passwort wieder Zugang verschaffen kann. Laut Rank Math kann sie außerdem:

• Sich nach dem Löschen selbst neu installieren
• Kopien von sich selbst in anderen Plugins und Themes verstecken
• Neue Administratorbenutzer anlegen
• Füge eine gefälschte Datei hinzu, die so aussieht, als gehöre sie zu WordPress
• Server-Einstellungen ändern und Aufgaben hinzufügen, die automatisch ausgeführt werden.

Die Malware kann zudem sensible Daten der Website auslesen: Passwörter, die Anmeldedaten für die Datenbank sowie API-Schlüssel (Codes, die die Website mit Diensten wie Zahlungs- oder E-Mail-Diensten verbinden). Aus diesem Grund ist es ratsam, alle diese Daten zu ändern.

Diese Tricks erschweren die Entfernung. Es reicht nicht aus, lediglich das Rank Math PRO-Plugin zu löschen, da sich die Malware möglicherweise bereits an anderen Stellen auf der Website befindet.

So stellen Sie eine betroffene Website Schritt für Schritt wieder her

Bevor Sie beginnen, erstellen Sie eine Liste aller Websites, auf denen Rank Math PRO 3.0.123 läuft, und überprüfen Sie anschließend, ob auf einer dieser Websites am 15. und 16. Oktober 2026, während der Sicherheitsattacke, ein Update durchgeführt wurde.

Sobald Sie die Standorte ermittelt haben, die wiederhergestellt werden müssen, prüfen Sie, ob Sie über ein einwandfreies Backup aus der Zeit vor dem Vorfall verfügen.

Szenario A: Sie verfügen über ein Backup aus der Zeit vor dem Vorfall

Das ist die schnellste und sicherste Möglichkeit.

1. Stellen Sie die Dateien und die Datenbank der Website anhand eines Backups wieder her, das vor dem 15. Oktober um 20:02 Uhr UTC erstellt wurde.
2. Überprüfen Sie die Website auf Malware.
3. Ändern Sie alle Passwörter und Schlüssel aus der folgenden Liste.
4. Installieren Sie die Version 3.0.124, die Sie von Ihrem Rank Math-Konto heruntergeladen haben.

Szenario B: Sie verfügen über kein einwandfreies Backup

Befolgen Sie diese Schritte der Reihe nach. Wenn Sie einen Schritt überspringen, kann sich die Malware erneut installieren.

Schritt 1: Verhindern Sie, dass die Malware wieder auftaucht.

• Löschen Sie den gesamten Ordner „rank-math-pro“. Es reicht nicht aus, das Plugin nur zu deaktivieren.
• Löschen Sie drei Zeilen aus der Datenbanktabelle „wp_options“: _uf6qdn2hmm, t8krdk990phb und _np5pvf754c.
• Bitten Sie Ihren Hosting-Anbieter, die Verbindung der Website zu rank1cdn[.]com zu blockieren.

Schritt 2: Finden und entfernen Sie die Spuren, die der Angreifer hinterlassen hat.

Suchen Sie nach	Wo
Admin-Benutzer mit Namen wie „wpsupport_“ + zufällige Buchstaben oder mit einer E-Mail-Adresse, die auf „@wp-mail[.]net“ endet	Benutzer im WordPress-Dashboard
Eine Datei namens „class-wp-cache-util.php“ (das ist eine Erfindung, WordPress hat diese Datei nicht)	Ordner „wp-includes“
PHP-Dateien, die Sie nicht erkennen	mu-plugins, Uploads, andere Plugin-Ordner sowie Theme-Ordner mit den Namen „inc“, „includes“ oder „lib“
Regeln, die dazu führen, dass .cache-Dateien als Code ausgeführt werden	.htaccess-Datei
Geplante Aufgaben, die Sie nicht erstellt haben, darunter eine mit dem Tag #ms6v46	Geplante Aufgaben in WordPress und die Crontab des Servers
SSH-Schlüssel, die Sie nicht erkennen	SSH-Einstellungen des Servers

Schritt 3: Überprüfen Sie, ob die Baustelle aufgeräumt ist.

• Durchsuche die Website noch einmal.
• Stellen Sie sicher, dass die WordPress-Kern-Dateien original sind.
• Achten Sie darauf, ob gelöschte Dateien wieder auftauchen. Sollte dies der Fall sein, ist die Malware noch aktiv.

Für beide Pfade: Ändern Sie alle Passwörter und Schlüssel.

Das Backup entfernt zwar die Malware, kann jedoch nicht rückgängig machen, was der Angreifer bereits gesehen hat. Ändern Sie so schnell wie möglich alle Passwörter und Schlüssel, die mit der Website in Verbindung stehen.

• Alle Passwörter der WordPress-Benutzer
• Das Datenbankpasswort
• Die Sicherheitsschlüssel und Salts in der Datei „wp-config.php“ (Zufallscodes, die WordPress zum Schutz von Anmeldungen verwendet)
• API-Schlüssel für Zahlungen, E-Mail und andere Dienste
• Hosting, FTP-, SFTP- und SSH-Anmeldungen
• Zweifaktor-Authentifizierung für Administratorkonten, sofern erforderlich

Warum eine Firewall diese Malware nicht blockieren kann

Patchstack stuft das Problem als Backdoor mit hoher Priorität ein, mit einem Schweregrad von 9,8 von 10 (CVE-2026-111862). Außerdem wird erläutert, dass in diesem Fall kein virtueller Patch möglich ist.

Ein virtueller Patch ist eine Firewall-Regel, die Angreifer daran hindert, eine bekannte Sicherheitslücke in einem Plugin auszunutzen, bis Sie den vom Entwickler bereitgestellten Fix installiert haben. Diese Technologie bildet die Grundlage für die Firewall im Sicherheits-Add-on von WP Umbrella.

Diesmal nutzte die Malware keine Sicherheitslücke aus. Sie war bereits in den Rank Math PRO-Dateien enthalten, als diese auf die Website gelangten, sodass es für die Firewall nichts zu blockieren gab.

Was schützt Ihr Portfolio vor ähnlichen Vorfällen?

Angriffe, bei denen Malware in einem echten Plugin-Update versteckt wird, sind im Jahr 2026 häufiger geworden. Rank Math PRO ist bereits der dritte Fall in diesem Jahr. Zuvor gab es ähnliche Sicherheitsvorfälle bei „ “, „Smart Slider 3 Pro“ und „ShapedPlugin Pro“. In jedem Fall hat das Unternehmen umgehend eine fehlerfreie Version veröffentlicht.

Sie können Angreifer zwar nicht davon abhalten, ein Plugin anzugreifen, dem Sie vertrauen, aber bestimmte Maßnahmen helfen Ihnen dabei, ein Problem frühzeitig zu erkennen und den Schaden stressfrei zu beheben.

1. Erstellen Sie Sicherungskopien, auf die Sie zurückgreifen können

Sicherheitsvorfälle zeigen, wie wertvoll ein einwandfreies Backup ist. „ WP Umbrella “ sichert Ihre Websites automatisch nach einem von Ihnen festgelegten Zeitplan. Wenn Sie ein Backup benötigen, können Sie es über Ihr Dashboard mit einem Klick wiederherstellen – entweder die gesamte Website oder nur die Dateien bzw. die Datenbank, die Sie benötigen.

2. Alle Plugins und Versionen auf einen Blick

Wenn Sie ein großes Portfolio an Kundenwebsites verwalten, lautet die erste Frage bei einem Sicherheitsproblem mit einem Plugin: „Auf welchen meiner Websites wird es verwendet?“ Wenn Sie sich bei jeder einzelnen Website anmelden müssen, um dies zu überprüfen, dauert das Stunden.

WP Umbrella zeigt die Plugins und Versionen aller Ihrer Websites in einem Dashboard an. Sie können Ihr Portfolio filtern und sortieren, um einen klaren Überblick zu erhalten und schnell reagieren zu können. Darüber hinaus können Sie mit dem MCP-Konnektor Ihren KI-Assistenten einfach fragen, welche Websites betroffen sind, und erhalten die Antwort in einfacher Sprache.

3. Sicherheitsupdates schnell installieren

Angreifer beginnen oft schon innerhalb weniger Stunden damit, eine neue Sicherheitslücke auszunutzen. Deshalb sollten Sicherheitspatches sofort installiert werden, sobald sie verfügbar sind. Updates, die lediglich neue Funktionen hinzufügen, können in der Regel ein oder zwei Tage warten.

WP UmbrellaBei den vorrangigen Sicherheitsupdates werden Sicherheitskorrekturen sofort nach ihrer Veröffentlichung installiert, während Ihre anderen Updates nach Ihrem üblichen Zeitplan erfolgen.

4. Achten Sie auf Anzeichen eines Anfalls

Malware ist so konzipiert, dass sie verborgen bleibt, daher ist sie beim bloßen Betrachten einer Website kaum zu erkennen. Zwei Tools können dabei sehr hilfreich sein: ein Malware-Scanner und ein Aktivitätsprotokoll.

• Ein Malware-Scanner überprüft eine Website auf schädlichen Code. Der Scanner von WP Umbrellaläuft täglich auf unseren Servern, sodass Ihre Websites nicht verlangsamt werden, und benachrichtigt Sie, wenn er etwas findet, das Ihre Aufmerksamkeit erfordert.
• Ein Aktivitätsprotokoll zeichnet alle Vorgänge auf der Website auf und warnt Sie vor ungewöhnlichen Änderungen. Das Sicherheitsaktivitätsprotokoll von WP Umbrellaweist auf Anzeichen wie neue oder versteckte Admin-Konten, Änderungen an Kern-Dateien und Änderungen an der .htaccess-Datei hin. Dies sind genau die Arten von Änderungen, die auch die Rank Math PRO-Malware vorgenommen hat.

Beide Tools sind mit dem Sicherheits-Add-on ausgestattet, das Sie für die Websites aktivieren können, bei denen ein Angriff Ihrem Kunden den größten Schaden zufügen würde.

5. Jede Website vom ersten Tag an absichern

Viele Sicherheitsangriffe auf WordPress nutzen dieselben Schwachstellen aus, wie beispielsweise einen offenen Dateieditor oder Administratorkonten ohne Zwei-Faktor-Authentifizierung. Werden diese Schwachstellen geschlossen, wird es für Angreifer schwieriger, sich Zugang zu verschaffen oder im System zu bleiben.

WP Umbrella Die Sicherheitsmaßnahmen sind bei jedem Standort ohne zusätzliche Kosten enthalten. Aktivieren Sie jede einzelne mit einem einfachen Schalter, um die Einfallstore zu schließen, die Angreifer in der Regel als Erstes versuchen.

6. Halten Sie Ihre Plugin-Liste kurz

Jedes Plugin bedeutet ein weiteres Update, auf das Sie sich verlassen müssen. Löschen Sie Plugins, die eine Website nicht mehr benötigt, einschließlich inaktiver Plugins, da deren Dateien auf dem Server verbleiben.

WP UmbrellaDie Website-Zustandsprüfungen zeigen inaktive Plugins und Themes an, sodass Sie auf jeder Website sehen können, was entfernt werden sollte.

7. Erstellen Sie jetzt einen Notfallplan.

Legen Sie fest, wer die Websites überprüft, wer die Kunden kontaktiert und wann Experten hinzugezogen werden sollen. Abschnitt 2.0 unseres kostenlosen „Kompletten WordPress-Sicherheitsleitfadens“ enthält einen Schritt-für-Schritt-Plan zur Reaktion auf Sicherheitsvorfälle, den Sie an Ihren eigenen Arbeitsablauf anpassen können.

Und falls eine Aufräumaktion die Kapazitäten Ihres Teams übersteigt, steht Ihnen WP Umbrella mit zwei On-Demand-Dienstleistungen zur Seite:

• Sicherheitsaudit (30 € pro Website): Unser Team überprüft Ihre Website eingehend. Sie erhalten einen übersichtlichen Bericht darüber, was festgestellt wurde und welche Maßnahmen zuerst ergriffen werden sollten.
• Professionelle Malware-Beseitigung (180 €): Unser Team kümmert sich um alles. Wir entfernen die Malware, schließen die Einfallstore, installieren saubere Kopien von WordPress und Ihren Plugins neu und sichern die Website ab.

Abschließende Überlegungen

Der Vorfall um Rank Math PRO macht deutlich, dass selbst beliebte Plugins von renommierten Unternehmen Ziel eines Sicherheitsangriffs werden können. Rank Math reagierte schnell und gab klare Anweisungen. Dennoch reichte ein routinemäßiges Update aus, um Websites für einige Stunden einem Risiko auszusetzen, obwohl die Website-Betreiber nichts falsch gemacht hatten.

Für WordPress-Agenturen lautet die Lehre daraus: Man sollte sich auf den Fall vorbereiten, dass einmal etwas durch die Maschen rutscht. Wenn Sie bereits über einwandfreie Backups, einen klaren Überblick über alle Plugins auf Ihren Websites und Tools verfügen, die Sie vor ungewöhnlichen Änderungen warnen, lässt sich ein Vorfall wie dieser in wenigen Minuten oder Stunden gezielter Arbeit bewältigen – statt einer Krise, die Sie möglicherweise einen Kunden kosten könnte.