Rank Math PRO gehackt. Dat is kort gezegd de boodschap van de beveiligingsmelding: bepaalde exemplaren van de premium Rank Math SEO-plugin voor WordPress bevatten malware die een verborgen backdoor kan laten “terugkomen” zodra bezoekers je site laden.
Rank Math heeft inmiddels een schone versie beschikbaar gesteld (3.0.124), maar de impact gaat verder dan alleen het vervangen van de plugin. In dit artikel zet ik de kern op een rij: wie mogelijk geraakt is, wat het kwaadaardige gedrag inhoudt en welke herstelstappen je prioriteit moet geven.
Wat is er gebeurd bij Rank Math PRO?
Rank Math stelt dat kopieën van Rank Math PRO die in een specifieke tijdsperiode zijn gedownload of als update zijn geleverd, malware bevatten. De melding kwam op 16 oktober online. De periode loopt van 15 oktober 20:02 UTC tot 16 oktober 07:12 UTC.
Belangrijk: sites die zo’n besmet exemplaar hebben geïnstalleerd en geactiveerd, moeten volgens de melding worden beschouwd als gecompromitteerd. De reden is dat de malware zich opnieuw kan herstellen wanneer je website wordt bezocht.
Welke versies en situaties vallen wel of niet onder de melding?
Het lastige is dat het versienummer op zichzelf niet verraadt of een bepaald pakket is aangetast. De afbakening zit vooral in wanneer het is gedownload of via een update is binnengekomen.
Rank Math verdeelt getroffen sites in drie scenario’s:
- Je hebt versie 3.0.123 geïnstalleerd én geactiveerd binnen de besmettingsvenster: behandel je site als gecompromitteerd, ook als je inmiddels naar 3.0.124 bent bijgewerkt.
- Je hebt 3.0.123 geïnstalleerd, maar nooit geactiveerd: verwijder de pluginbestanden, installeer 3.0.124 via je Rank Math-account en voer een security scan uit.
- Je hebt 3.0.123 gedownload maar niets geïnstalleerd of geactiveerd: alleen dit feit betekent niet automatisch dat je site is besmet.
Wat doet de malware precies?
Rank Math en later ook Wordfence hebben de aanval beschreven op hoofdlijnen, maar zonder dat ze code-analyse of de identiteit van de aanvallers delen. Wat wél helder is: de malware kan een verborgen backdoor opnieuw opbouwen, zelfs nadat je verdachte bestanden hebt verwijderd—tenzij je het herstel in de juiste volgorde uitvoert.
Volgens de melding kan een aanvaller onder andere sporen achterlaten buiten de Rank Math plugin zelf. Denk daarbij aan:
- PHP-backdoorbestanden in andere pluginmappen, thema-structuren en in must-use plugins.
- Het aanmaken van administratoraccounts en het toevoegen van een nep WordPress core-bestand.
- Aanpassingen aan .htaccess zodat .cache-bestanden als PHP kunnen worden uitgevoerd.
- Extra persistentie via scheduled tasks (geplande taken), het plaatsen van SSH keys en andere serverconfiguraties.
Daarnaast waarschuwt Rank Math dat je moet aannemen dat alle gegevens waar de site toegang toe kan krijgen, mogelijk zijn blootgesteld. Dat kan gaan om wachtwoorden, databasegegevens, API-sleutels en andere geheimen.
Waarom “alleen updaten” niet genoeg is
Rank Math PRO gehackt betekent in de praktijk: het vervangen van de plugin is niet per se herstel. In de melding wordt expliciet benadrukt dat een “clean” versie installeren wel helpt, maar geen garantie biedt dat eerder geplaatste bestanden, accounts of taken verdwijnen.
Daarom geeft de fabrikant ook aan dat de volgorde van opschonen en blokkeren telt. Als je eerst te veel “verandert” en pas later knijpt, kan de malware zichzelf blijven herstellen.
Herstel: eerst uitschakelen en sporen verwijderen
Rank Math heeft als voorkeur: restore vanuit een backup van vóór het besmettingsvenster. Is er zo’n back-up beschikbaar? Dan is dit het verstandigste startpunt: herstel de site en database, voer daarna een security scan uit, vervang vervolgens alle credentials en installeer pas daarna 3.0.124.
Ontbreekt een schone backup? Dan is er een handmatige opschoning, met een vaste volgorde. Drie acties moeten als eerste gebeuren:
- Verwijder de volledige Rank Math PRO pluginmap via je hosting file manager of FTP. Alleen de plugin deactiveren is niet voldoende.
- Verwijder in de database uit wp_options de entries waarvan option_name één van deze waarden is: _uf6qdn2hmm, t8krdk990phb of _np5pvf754c.
- Blokkeer uitgaande verbindingen naar rank1cdn[.]com, mits je dat via firewall of hostingprovider kunt afdwingen.
Daarna: gericht zoeken naar extra besmetting
Als de “basis” schoon is, volgt pas het bredere zoeken. Let daarbij op wijzigingen in meerdere mappen en op specifieke code- of configuratiepatronen.
De melding noemt onder andere:
- Bestanden: PHP-bestanden in wp-content/mu-plugins, in andere pluginsmappen, in include-structuren van niet-standaard thema’s (zoals inc, includes, lib), in de includes van Rank Math zelf en in uploads.
- Code-indicatoren: PHP die gebruikmaakt van base64_decode met XOR-lussen, de sleutel xmmqhn, of technieken zoals proc_open en PHP-FPM socketcode.
- Specifiek bestand: wp-includes/class-wp-cache-util.php (dat is niet een WordPress core-bestand volgens de melding).
Ook noemt de melding server- en accountsporen:
- Accounts met administrator-username die beginnen met wpsupport_ of e-mailadressen die eindigen op @wp-mail[.]net.
- Serverwijzigingen zoals .htaccess-regels voor het uitvoeren van .cache als PHP, .cache-bestanden die PHP bevatten, entries die gelinkt zijn aan geplande taken (ook met tag #ms6v46), WordPress scheduled events, SSH authorized_keys en processen of locaties waar de webserver kan schrijven.
Wordfence voegt toe dat het ontbreken van bepaalde elementen niet automatisch betekent dat een site schoon is—dus blijf kritisch en voer scans uit.
Credentials en geheimen: vervang alles wat je kunt
In de herstelprocedure is het vervangen van wachtwoorden en geheimen een kernpunt. Rank Math adviseert om niet alleen WordPress-wachtwoorden aan te pakken, maar ook alle databasegegevens en secrets in wp-config.php.
Concreet gaat het om onder meer security keys en salts, maar ook om betaalgegevens, SMTP- en andere API-sleutels, hosting control panel toegang, FTP/SFTP/SSH, geheimen in environment variables en 2FA voor beheerders.
Verifieer met scans en checksums
De opschoning sluit volgens de meldingen af met een security scan, wp core verify-checksums voor WordPress core en plugin checks. Voor premium plugins kan het zijn dat checksums niet beschikbaar zijn, waardoor je vooral moet vertrouwen op een combinatie van opschoning, scanresultaten en (waar mogelijk) bestandsvergelijking.
Verder vermeldt de melding dat het verificatiesysteem voor de PRO plugin in de openbare plugin-checksums niet (of anders dan de gratis variant) beschikbaar is. Er wordt wel een clean versie aangeboden via het officiële Rank Math kanaal.
Wat betekent dit voor jou als beheerder?
De kernboodschap achter Rank Math PRO gehackt: ga uit van “compromis” als je tijdens het venster de besmette versie hebt geactiveerd. Twijfel je? Kijk dan naar jouw acties rond het tijdvak en volg het scenario dat het beste past.
Daarnaast is het nuttig om breder te denken. Dit soort incidenten passen in een trend waarbij het updatekanaal van een leverancier wordt gebruikt om kwaadaardige bouwpakketten door te laten stromen. Dat raakt niet alleen WordPress, maar ook de hele software supply chain.
Lees ook: Rank Math PRO gehackt via supply chain: aanpak voor een praktische insteek op volgorde, scope en herstelprioriteiten.
Gerelateerd: vaker backdoors via “vendor updates”
In de melding wordt aangehaald dat dit jaar al meerdere keren premium WordPress plugins via vendor-gedreven updatekanalen zijn geraakt. Voor beheerders betekent dat: vertrouw niet uitsluitend op “je plugin stond automatisch op versie X”. Kijk naar de herkomst en naar je eigen tijdlijn.
Wil je meer context over incidentpatronen rondom supply chain en herstelmethodes? Dan is deze achtergrond ook relevant: Contextuele cyberdefensie: van losse meldingen naar actie.
Conclusie
Rank Math PRO gehackt is geen incident dat je oplost met één simpele update. Door de manier waarop de backdoor zichzelf kan herstellen na een bezoek, moet je het herstel strikt en in de juiste volgorde uitvoeren—bij voorkeur via een restore van een backup vóór het besmettingsvenster.
Concreet: verwijder de aangetaste pluginmap, controleer en opruimen van database-entries, blokkeer uitgaande verbindingen waar mogelijk, zoek gericht naar extra persistentie (bestanden, accounts, .htaccess en taken) en vervang vervolgens alle credentials. Pas daarna installeer je 3.0.124 en verifieer je alles met scans en checks.
Bron: https://thehackernews.com/2026/10/popular-wordpress-seo-plugin-rank-math.html
