Wie het had over een gecompromitteerde login bij ETS, denkt al snel aan phishing of gestolen inloggegevens. Maar in dit geval gaat het om iets anders: een WordPress SEO-plugin (Rank Math PRO) die is misbruikt om malware te leveren. Het risico is direct, omdat de aanvallers een verborgen backdoor kunnen laten terugkeren zodra je site wordt bezocht.
Rank Math meldt dat bepaalde kopieën van de PRO-versie besmet waren via downloads of updates in een specifieke tijdsperiode. Heb je zo’n pakket geïnstalleerd en geactiveerd, dan moet je je website behandelen als gecompromitteerd, ook als je inmiddels naar een schone versie bent geüpdatet.
Wat is er precies gebeurd met Rank Math PRO?
In een beveiligingsmelding geeft Rank Math aan dat downloads van Rank Math PRO en updates die tussen 20:02 UTC op 15 oktober en 07:12 UTC op 16 oktober zijn uitgerold besmet konden zijn. De malware kan een verborgen backdoor opnieuw opbouwen wanneer bezoekers de site bezoeken.
Rank Math heeft intussen de betreffende bestanden verwijderd en een “clean” versie uitgebracht: 3.0.124. Die versie installeert de plugin opnieuw, maar het betekent niet automatisch dat alle kwaadwillige sporen verdwijnen.
Waarom “updaten naar 3.0.124” niet genoeg is
Het herstel gaat verder dan alleen een pluginversie vervangen. De melding benadrukt dat een update wel de plugin vervangt, maar mogelijk al eerder aangebrachte onderdelen blijven bestaan, zoals:
- nieuwe administratoraccounts
- geplande taken (scheduled tasks)
- eventuele backdoorbestanden die op andere plekken zijn geplaatst
Daarom is een gestructureerde opschoonactie volgens een vaste volgorde cruciaal.
Ben jij getroffen? Check de situatie per installatietype
Het lastige: het versienummer op zichzelf zegt niet altijd of de kopie in de besmette periode is geleverd. Rank Math gaat daarom uit van drie situaties.
- Je installeerde én activeerde 3.0.123 tijdens de besmette periode: beschouw je site als gecompromitteerd, ook als je daarna naar 3.0.124 bent geüpdatet.
- Je installeerde 3.0.123, maar activeerde het niet: verwijder de pluginbestanden, installeer 3.0.124 via je Rank Math-account en voer een beveiligingsscan uit.
- Je downloadde het, maar installeerde of activeerde het niet: er is op basis van deze melding alleen niet genoeg om aan te nemen dat je site is aangetast.
Rank Math geeft ook aan dat sommige gebruikers zijn benaderd en dat wie twijfelt contact moet opnemen met de support. De melding is bovendien specifiek voor de PRO-plugin die je via rankmath.com downloadt en niet voor de gratis versie uit de WordPress.org-repository.
Wat doet de malware volgens de melding?
Rank Math en ook een daaropvolgende advisering geven vooral op hoofdlijnen weer wat er in elk geval kan zijn achtergelaten. Er is geen volledige code-analyse publiek gemaakt in de betreffende stukken, maar de opsomming van mogelijke sporen is wél uitgebreid.
Volgens de melding kan de aanvaller onder andere:
- PHP-backdoorbestanden plaatsen in mu-plugins en in andere pluginmappen
- backdoors toevoegen in themamappen
- een fake WordPress core-bestand neerzetten
- .htaccess aanpassen zodat .cache-bestanden als PHP kunnen draaien
- scheduled tasks toevoegen
- SSH-sleutels toevoegen en/of accounttoegang beïnvloeden
- administratoraccounts aanmaken
Omdat je er niet met zekerheid vanuit mag gaan dat alleen de plugin zelf is aangetast, geldt het advies: ga ervan uit dat alle credentials die je site kan bereiken (wachtwoorden, databasegegevens, API’s en sleutels) mogelijk zijn blootgesteld.
Herstelplan: zo voorkom je dat de backdoor terugkomt
Rank Math adviseert in veel gevallen om te herstellen via een backup. Maar als je geen schone back-up van vóór 20:02 UTC op 15 oktober hebt, moet je een handmatige opschoonroute volgen. Daarin zitten essentiële vroege stappen voordat je iets anders gaat zoeken of herstellen.
Stappen die eerst moeten gebeuren
De melding benoemt drie acties die vóór de rest komen:
- Verwijder de volledige Rank Math PRO-map via de file manager of FTP. Alleen de plugin deactiveren is volgens Rank Math niet voldoende.
- Verwijder specifieke wp_options-entries waarbij de option_name overeenkomt met de genoemde waarden: _uf6qdn2hmm, t8krdk990phb en _np5pvf754c.
- Blokkeer uitgaand verkeer naar rank1cdn[.]com als je hostingprovider of firewall dat toestaat.
Pas daarna start het bredere onderzoek naar extra achtergelaten wijzigingen.
Waar je vervolgens naar moet zoeken
Daarna wordt gezocht naar sporen op meerdere plaatsen. Denk aan verdachte PHP-bestanden en specifieke patronen in mappen zoals:
- PHP in wp-content/mu-plugins en andere pluginmappen
- PHP in inc/, includes/ en lib/ binnen niet-standaard themes
- Bestanden in Rank Math’s eigen includes/ map
- PHP in uploads/
De melding noemt daarnaast specifieke codekenmerken, zoals PHP die base64_decode gebruikt met XOR-loops, of functies/technieken zoals proc_open en PHP-FPM socket-gerelateerde code.
Ook wordt er gewezen op een bestand: wp-includes/class-wp-cache-util.php (dat is niet het standaard WordPress core-bestand waar je automatisch op vertrouwt volgens de toelichting), en op meerdere mogelijke aanvalspunten in accounts en serverconfiguratie.
Accounts, .htaccess, taken en serverwijzigingen
Let in elk geval op:
- administratoraccounts met usernames beginnend met wpsupport_
- accounts met e-mailadressen eindigend op @wp-mail[.]net
- .htaccess-regels die .cache als PHP laten uitvoeren
- aanwezigheid van .cache-bestanden met PHP-code
- crontab entries voor webservergebruikers die gemarkeerd zijn met #ms6v46
- WordPress scheduled events
- SSH authorized_keys bestanden en overige users’ crontabs
- running processes en elke locatie waar de webserver kan schrijven buiten je normale sitepad
Na afloop raadt Wordfence expliciet aan dat het ontbreken van bepaalde elementen niet automatisch bewijst dat de site schoon is. Het is dus geen “vinklijst en klaar”.
Credentials: verander alles, ook als je een restore deed
Of je nu herstelt vanuit een backup of de handmatige opschoonactie uitvoert: je moet je wachtwoorden en sleutels vernieuwen. De lijst in de melding is breed, waaronder:
- WordPress wachtwoorden
- databasegebruikersnaam en -wachtwoord in wp-config.php
- security keys en salts
- payment gateway-, SMTP- en andere API-keys
- toegang tot hostingcontrol panel, FTP/SFTP en SSH
- secrets in environment variables
- 2FA voor administrators
Deze stap is vergelijkbaar met incidenten waarbij een aanvaller niet alleen inlogt, maar ook persistentie opbouwt. In die zin past de aanpak bij bredere “compromis herstelt en neem toegang weg”-principes die je ook ziet bij andere inlogincidenten. Bijvoorbeeld: gecompromitteerde login bij ETS — aanpak bij Rank Math PRO.
Controleer daarna met scans en verificaties
Na het opgeschoonde herstel komt de bevestiging. De melding noemt onder andere:
- een security scan
- wp core verify-checksums voor WordPress core
- wp plugin verify-checksums — –all voor plugins
Er staat wel een belangrijke nuance: checksums kunnen ontbreken voor premium plugins. In dat geval blijft je eigen controle en het volgen van de herstelstappen des te belangrijker.
Hoe sluit je dit af (en wat kun je vooruit doen)?
Rank Math adviseert om 3.0.124 als laatste te installeren, door direct in te loggen op rankmath.com. Ook geeft de melding aan dat Rank Math geen inlog- of downloadlinks via e-mail zal versturen.
Tot slot: dit incident past in een bredere trend. In eerdere gevallen dit jaar werden premium plugins via vendor-kanalen besmet met achterdeuren. Dat maakt het des te belangrijker om niet alleen te vertrouwen op “de update is binnen” maar om bij signalen of twijfels het herstelplan serieus te doorlopen.
Wil je de aanpak van incidenten die draaien om (mogelijk) gecompromitteerde toegang en persistente malware breder duiden? Lees dan ook contextuele cybersecurity: van losse alerts naar actie om te leren hoe je van signalen naar concrete herstelmaatregelen gaat.
Conclusie
De waarschuwing rond Rank Math PRO is een duidelijke reminder dat een WordPress-site niet alleen “kapot” kan gaan door een kwetsbaarheid, maar ook door misbruik van het update- of downloadkanaal. Als jouw installatie in de besmette periode valt—en zeker als je activeerde—behandel je site als gecompromitteerd en voer je herstel uit met de volgorde die is bedoeld om heropbouw van de backdoor te stoppen.
Verwijder de besmette plugin volledig, wis de specifieke database-items, blokkeer de genoemde uitgaande verbinding waar mogelijk, zoek vervolgens systematisch naar achtergelaten sporen, en vernieuw daarna alle credentials. Zo voorkom je dat een incident blijft terugkomen, zelfs nadat je “gewoon” hebt geüpdatet.
Bron: https://thehackernews.com/2026/10/popular-wordpress-seo-plugin-rank-math.html
