Rank Math PRO is vorige week slachtoffer geworden van een supply chain-aanval: gebruikers downloadden ogenschijnlijk legitieme bestanden, maar kregen in sommige pakketten malware. De leverancier meldt dat bepaalde versies van Rank Math PRO de controle over websites kunnen overnemen zodra de plugin is geactiveerd.
Dit is precies het type incident waarbij niet alleen “even updaten” genoeg is. Als je in de opgegeven periode versie 3.0.123 hebt geïnstalleerd en geactiveerd, behandel je je WordPress-site als gecompromitteerd en start je met een herstel- en opschoningsaanpak.
Wat is er gebeurd met Rank Math PRO?
Rank Math geeft aan dat sommige downloadpakketten van Rank Math PRO versie 3.0.123 malware bevatten. Die malware kan aanvallers in staat stellen om websites over te nemen wanneer de plugin actief is.
De risico-periode die Rank Math noemt loopt van 15 oktober 2026 om 20:02 UTC tot 16 oktober 2026 om 07:12 UTC. Iedereen die in die tijd een affected versie heeft gedownload of geüpdatet, moet extra alert zijn.
Welke gebruikers moeten direct handelen?
Volgens Rank Math gelden vooral sites waarop Rank Math PRO 3.0.123 is geïnstalleerd én geactiveerd tijdens het venster hierboven. In zo’n geval adviseert Rank Math om de site te behandelen alsof die is geïnfecteerd.
De kernboodschap: herstel je website uit een schone back-up die is gemaakt vóór het incident. Alleen “de plugin verversen” is niet voldoende, omdat de malware mogelijk al persistent is geworden.
Waarom is opschonen lastig?
Rank Math waarschuwt dat de malware persistent toegang kan bieden. Daarnaast kan het mechanisme een verborgen backdoor opnieuw aanmaken bij elk bezoek aan pagina’s. Dat betekent dat je besmetting kunt blijven zien, ook als je denkt dat je “eenmalig” iets hebt verwijderd.
Verder is er een breed scala aan mogelijke sporen en bijwerkingen: de malware kan kwaadaardige bestanden neerzetten, configuraties aanpassen en zelfs andere onderdelen van je WordPress-omgeving beïnvloeden.
De door Rank Math geadviseerde herstelstappen
Rank Math beschrijft een concrete aanpak voor webmasters. Gebruik dit als checklist en pas je uitvoering aan je situatie aan.
1) Herstel eerst vanuit een schone back-up
Heb je een back-up van vóór het incident? Herstel dan je hele WordPress-site vanuit die schone kopie. Werk daarna pas verder met verdere controle en vervanging.
2) Installeer de schone versie
Rank Math stelt dat de besmette bestanden direct zijn verwijderd en dat een schone versie is uitgebracht: Rank Math PRO v3.0.124. Na verificatie van de integriteit installeer je deze versie.
3) Als back-up niet beschikbaar is: volg de opschoon-instructies
Kun je je site niet terugzetten? Rank Math adviseert dan onder meer:
- De pluginmap van Rank Math PRO verwijderen.
- Een mogelijk kwaadaardig database-item verwijderen.
- Het aanvallersdomein rank1cdn[.]com blokkeren.
- Verdachte PHP-bestanden verwijderen.
- Onbekende of verdachte WordPress-beheerdersaccounts verwijderen.
4) Controleer extra persistente sporen buiten WordPress
De melding gaat verder dan alleen plugin-bestanden. Omdat aanvallers ook buiten de WordPress-installatie kunnen wijzigen, moet je breder kijken.
Let op:
- SSH authorized_keys-bestanden
- crontabs van andere systeemgebruikers
- verdachte processen
- locaties waar de webservergebruiker schrijftoegang heeft
Welke kwaadaardige acties kunnen zijn uitgevoerd?
Rank Math beschrijft meerdere technieken die in de getroffen gevallen kunnen voorkomen. Dat maakt het des te belangrijker om niet alleen de plugin te vervangen, maar ook je site structureel te controleren.
- Nagemaakte WordPress core files (fake kernbestanden) kunnen zijn geplaatst.
- Aanpassingen aan .htaccess kunnen regels toevoegen die .cache-bestanden als PHP laten uitvoeren.
- Er kunnen .cache-bestanden met PHP-code zijn neergezet.
- Aanvallers kunnen taakplanning gebruiken via cronjobs en schedules.
- Bestanden van andere plugins en thema’s kunnen zijn gewijzigd.
- Er kunnen ook extra bestanden zijn geüpload naar je omgeving.
Deze combinatie is precies waarom een handmatige cleanup snel kan mislukken. Als je niet met een bewezen schone basis start, loop je het risico dat je een verborgen component laat bestaan.
Vervolgactie: wachtwoorden en verificatie
Wanneer je ervan overtuigd bent dat je site schoon is, is het volgende moment cruciaal: wijzig al je wachtwoorden (accounts, beheer, eventuele gekoppelde services). Dat voorkomt dat een aanvaller via eerder gestolen credentials opnieuw toegang krijgt.
Installeer daarna de schone Rank Math PRO v3.0.124-versie en controleer of alles correct draait.
Snelle beveiligingscheck: maak je respons procesbaar
Heb je vaker incidenten gehad, of wil je dit incident gebruiken om je aanpak te verbeteren? Dan helpt het om je stappen te structureren: detecteren, isoleren, herstellen, controleren en daarna pas weer vrijgeven.
Als je meer wilt lezen over hoe incidenten in de praktijk worden aangepakt en welke dynamiek er soms achter snelle besmettingen zit, kun je ook kijken naar het artikel over contextuele cyberdefensie: van losse meldingen naar actie.
Ook bij WordPress-achtige compromitteringen geldt: behandel “updates” niet als einde van het verhaal, maar als onderdeel van een bredere herstelcyclus.
Conclusie
Rank Math PRO is gecompromitteerd via een supply chain-aanval, met malware in specifieke pakketten van versie 3.0.123. De situatie vraagt om directe actie: controleer of jouw site in de periode is geraakt en of versie 3.0.123 is geactiveerd.
Gebruik bij voorkeur een schone back-up van vóór het incident, verwijder besmette onderdelen als terugzetten niet kan, controleer op persistente sporen en wijzig vervolgens alle wachtwoorden. Alleen zo verklein je de kans dat een backdoor opnieuw toeslaat.
Bron: https://www.securityweek.com/rank-math-pro-wordpress-plugin-compromised-in-supply-chain-attack/
