WordPress im Oktober: ein offizielles Update mit Schadcode und ausgenutzte Plugins, was zu prüfen ist

WordPress ist das meistgenutzte System für KMU-Websites, auch im Tessin. Die Grundregel für den sicheren Betrieb ist bekannt: Updates installieren, sobald sie erscheinen. Mitte Oktober 2026 geschah jedoch das Gegenteil dessen, was man erwartet: Einige Stunden lang brachte ausgerechnet ein offizielles Update den Schadcode auf die Websites.

Der Fall betrifft Rank Math SEO PRO, die kostenpflichtige Version eines weit verbreiteten SEO-Plugins. In denselben Wochen wurden kritische Lücken im WordPress-Kern und in mehreren Plugins behoben, einige davon bereits ausgenutzt. Hier die geprüften Fakten und eine Checkliste für alle, die eine WordPress-Website betreiben oder von einem Dienstleister betreuen lassen.

Was bei Rank Math PRO passiert ist

Laut dem Hinweis des Herstellers erhielt eine begrenzte Zahl von Nutzern, die Rank Math PRO 3.0.123 zwischen dem 15. Oktober 2026 um 22:02 Uhr und dem 16. Oktober um 09:12 Uhr (Schweizer Zeit; 20:02-07:12 UTC) heruntergeladen haben, Plugin-Dateien mit Schadcode. Die manipulierten Kopien kamen über den offiziellen Verteilkanal: Betroffen waren sowohl Downloads als auch Plugin-Updates. Rank Math entfernte die Dateien und veröffentlichte am 16. Oktober die saubere Version 3.0.124, wie das Änderungsprotokoll zeigt.

War das Plugin aktiviert, konnte der Schadcode einen dauerhaften Zugang zur Website öffnen, versteckte Hintertüren bei jedem Besuch neu anlegen, Administratorkonten erstellen und die auf dem Server gespeicherten Zugangsdaten offenlegen: Datenbank, API-Schlüssel, Zugänge zu Zahlungs- und Maildiensten. Der Fall erhielt die Kennung CVE-2026-111862 mit einer Bewertung von 9,8 von 10. Der Hinweis des Herstellers nennt weder die Zahl der betroffenen Websites noch, wie die manipulierten Dateien in den Verteilkanal gelangten.

Die kostenlose Version von Rank Math SEO auf WordPress.org ist laut Hersteller nicht betroffen.

Warum dieser Fall anders ist

Normalerweise ist eine alte Version das Problem: Man aktualisiert, und die Lücke ist geschlossen. Hier sagt die Versionsnummer allein nichts aus. Eine Kopie von 3.0.123, die vor oder nach dem elfstündigen Zeitfenster geladen wurde, ist sauber; entscheidend ist, wann sie geladen und ob sie aktiviert wurde. Vor allem entfernt der Wechsel auf 3.0.124 nicht, was der Schadcode bereits installiert hat: hinzugefügte Konten, versteckte Dateien, geplante Aufgaben und bereits ausgelesene Zugangsdaten bleiben.

Rank Math unterscheidet drei Fälle:

• Version 3.0.123 im Zeitfenster installiert und aktiviert: Die Website gilt als kompromittiert.
• Installiert, aber nie aktiviert: Plugin-Dateien löschen, 3.0.124 aus dem eigenen Rank-Math-Konto installieren und einen Sicherheitsscan durchführen.
• Nur heruntergeladen, nicht installiert: Laut Hersteller gibt es aus diesem Vorfall keinen Hinweis auf eine Kompromittierung.

Die weiteren WordPress-Lücken der letzten Wochen

Der Fall Rank Math steht nicht allein. Zwischen September und Oktober 2026:

• WordPress-Kern: Version 7.1.2 vom 22. September schloss eine kritische Lücke (CVE-2026-87902), die in bestimmten Server- und Theme-Konfigurationen das Ausführen von Code ohne Anmeldung erlaubt. Laut Patchstack, zitiert von BleepingComputer, kamen die ersten Angriffsversuche weniger als fünf Stunden nach der Korrektur. Am 6. Oktober folgte Version 7.1.3 mit sieben Sicherheitskorrekturen; sie ist zum Zeitpunkt dieses Artikels die aktuelle Version. Die Korrektur wurde auch auf ältere Versionen bis 4.7 übertragen.
• Bricksforge, kostenpflichtige Erweiterung für den Page Builder Bricks: kritische Lücke, die das Hochladen und Ausführen von Code ohne Anmeldung erlaubt, laut Patchstack seit dem 7. Oktober ausgenutzt. Behoben in 3.1.8.10.
• Ninja Forms und WPC Product Bundles for WooCommerce: Lücken, die in einer bisher begrenzten Kampagne genutzt wurden, um ein gefälschtes Plugin zu installieren und Administratoren anzulegen (BleepingComputer). Behoben in den Versionen 3.15.4 und 8.6.7.
• The Grid (bis 2.8.1, behoben in 2.8.2), Theme My Login (bis 7.2.1, behoben in 7.2.2, betroffen sind nur einige Multisite-Installationen) und MailOptin (bis 1.2.78.6, behoben in 1.2.78.7): kritische Lücken ohne Anmeldung ausnutzbar, die Patchstack als bekanntermassen ausgenutzt führt.

Ein praktischer Punkt: Rank Math PRO, Bricksforge und The Grid sind kostenpflichtige Plugins. Sie erscheinen nicht in den Updates von WordPress.org, und ihre Dateien lassen sich nicht mit öffentlichen Prüfsummen vergleichen. Updates kommen nur über den Kanal des Herstellers, und oft sind es genau diese Plugins, die zurückbleiben.

Was jetzt zu tun ist

1. Bestandesaufnahme

Notieren Sie für jede WordPress-Website die WordPress-Version und die Liste der Plugins mit Version, getrennt nach kostenlosen und kostenpflichtigen. Betreut ein Dienstleister die Website, verlangen Sie diese Liste schriftlich.

2. Rank Math PRO: feststellen, wann 3.0.123 kam

Wenn Sie Rank Math PRO nutzen, prüfen Sie, ob 3.0.123 zwischen dem 15. Oktober um 22:02 Uhr und dem 16. Oktober um 09:12 Uhr installiert wurde, etwa anhand des Update-Protokolls, der Dateidaten oder der Mitteilung des Herstellers. Wurde sie in diesem Zeitraum aktiviert, folgen Sie dem Hinweis: Empfohlen ist eine vollständige Wiederherstellung (Dateien und Datenbank) aus einem Backup von vor Beginn des Zeitfensters, gefolgt vom Wechsel aller Zugangsdaten. Eine manuelle Bereinigung ist möglich, muss aber der vom Hersteller vorgegebenen Reihenfolge folgen und erfolgt am besten durch eine Fachperson oder den Hosting-Anbieter. Das Plugin zu deaktivieren genügt nicht.

3. Zugangsdaten wechseln, auch nach einer Wiederherstellung

Rank Math hält diesen Schritt auch nach einer Wiederherstellung für unerlässlich: Passwörter der WordPress-Benutzer, Datenbankpasswort, WordPress-Sicherheitsschlüssel, API-Schlüssel, Mail- und Zahlungszugänge, Hosting-, FTP/SFTP- und SSH-Zugänge. Prüfen Sie danach die Mehr-Faktor-Authentisierung der Administratoren (siehe die fünf Sicherheitsstufen beim Anmelden des BACS).

4. Den Rest aktualisieren

Bringen Sie WordPress auf 7.1.3 und die genannten Plugins mindestens auf die korrigierten Versionen. Wo ein Update nicht sofort möglich ist, deaktivieren Sie das Plugin. Kontrollieren Sie nach dem Update die Liste der Administratoren und kürzliche Änderungen von Passwörtern und E-Mail-Adressen: Das Update schliesst die Lücke, macht aber einen bereits erfolgten Zugriff nicht rückgängig. Prüfen Sie auch die PHP-Version des Servers, nach den PHP-Sicherheitslücken der letzten Woche.

5. Backups und Update-Protokoll führen

Der Fall zeigt den Wert von zwei einfachen Dingen: tägliche Backups, die mindestens einige Wochen aufbewahrt werden und die Rückkehr zu einem Stand vor einem bestimmten Datum erlauben, und ein Protokoll, wann jedes Plugin aktualisiert wurde. Ohne diese beiden ist die Frage «War unsere Website betroffen?» kaum zu beantworten.

6. Vorsicht bei «Sicherheits»-E-Mails

Rank Math hält fest, dass es nie Anmelde- oder Download-Links per E-Mail verschickt. Nach solchen Vorfällen kursieren oft gefälschte Hinweise, die zum Herunterladen einer «korrigierten Version» auffordern: Laden Sie Updates nur herunter, indem Sie die Website des Herstellers direkt aufrufen.

Meldepflichten in der Schweiz

Eine kompromittierte WordPress-Website kann Kundendaten offenlegen, etwa Kontaktformulare, Bestellungen oder Benutzerkonten:

• Datenschutz (revDSG): Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, ist dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich zu melden, gemäss Art. 24 DSG. Der EDÖB stellt ein Online-Formular bereit.
• Kritische Infrastrukturen: Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen, einschliesslich kantonaler und kommunaler Verwaltungen, Cyberangriffe innerhalb von 24 Stunden nach Entdeckung dem BACS melden.
• Für andere Unternehmen ist die Meldung an das BACS freiwillig, hilft aber bei der Einschätzung des Falls.

Die Studie «KMU-Cybersicherheit 2026» hat gezeigt, dass die organisatorische Vorbereitung die Schwachstelle vieler KMU ist: wissen, wer die Website betreut, wo die Backups liegen und wer im Ernstfall entscheidet.

Häufige Fragen

Ich nutze die kostenlose Version von Rank Math: Muss ich etwas tun?

Laut Hersteller nein: Der Vorfall betrifft nur Rank Math PRO. Die üblichen Updates für WordPress und die übrigen Plugins gelten weiterhin.

Ich habe bereits auf 3.0.124 aktualisiert: Ist alles in Ordnung?

Nur wenn die manipulierte 3.0.123 nie aktiviert war. War sie es, ersetzt das Update das Plugin, entfernt aber nicht, was der Schadcode installiert hat: Nötig sind eine Wiederherstellung aus dem Backup oder eine vollständige Bereinigung sowie neue Zugangsdaten.

Sind automatische Updates noch sinnvoll?

Ja. Eine Website mit alten Versionen bleibt den oben genannten ausgenutzten Lücken ausgesetzt, die weit häufiger sind als ein manipuliertes Update. Am besten kombiniert man sie mit regelmässigen Backups und einem Update-Protokoll.

Eine Agentur betreut meine Website: Was frage ich?

Fragen Sie schriftlich, ob die Website Rank Math PRO oder eines der genannten Plugins nutzt, wann diese aktualisiert wurden, ob es Backups von vor dem 15. Oktober gibt und ob Konten und Dateien geprüft wurden.

Unser Ansatz

ElaraTeq Sagl entwickelt und betreibt Websites und Anwendungen für KMU und öffentliche Stellen im Tessin, mit Hosting in der Schweiz. Wir können Ihre WordPress-Website prüfen, Kern und Plugins aktualisieren, Konten und Dateien kontrollieren sowie Backups und ein Update-Protokoll einrichten. Für die laufende Betreuung gibt es den in Orbit beschriebenen Service; für eine Prüfung kontaktieren Sie uns.

Quellen

• Rank Math, «Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website», Oktober 2026: rankmath.com; Änderungsprotokoll von Rank Math PRO: v3.0.124 vom 16. Oktober 2026
• CVE Program, CVE-2026-111862 (veröffentlicht am 19. Oktober 2026)
• BleepingComputer, 19. Oktober 2026: WordPress SEO plugin Rank Math compromised to backdoor websites; SecurityWeek, 19. Oktober 2026: Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack
• WordPress.org, WordPress 7.1.2 Release, 22. September 2026; WordPress 7.1.3 Maintenance and Security Release, 6. Oktober 2026
• BleepingComputer, 23. September 2026: Hackers start exploiting critical WordPress flaw for code execution
• Patchstack, 8. Oktober 2026: Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin; BleepingComputer, 6. Oktober 2026: Ninja Forms plugin flaw exploited to hack WordPress sites
• Patchstack, Schwachstellen-Einträge: The Grid, Theme My Login, MailOptin; CVE Program, CVE-2026-89079 (Theme My Login)
• EDÖB, Meldung von Datensicherheitsverletzungen; BACS, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen