kort antwoord
Een deel van de downloads van Rank Math PRO 3.0.123 (15 en 16 oktober 2026) bevatte malware. Was die versie actief op je site, behandel de site dan als gehackt: zet een schone back-up terug, wijzig alle wachtwoorden en installeer 3.0.124.
Heb je Rank Math PRO op je WordPress-site? Dan is dit het belangrijkste wat je deze week controleert. Een deel van de downloads van versie 3.0.123 bevatte malware. Dat meldt Rank Math zelf in een beveiligingsadvies. Het gaat om de betaalde PRO-versie. De gratis Rank Math-plug-in uit WordPress.org is volgens Rank Math niet geraakt.
Wat is er precies gebeurd?
Rank Math is een veelgebruikte SEO-plug-in voor WordPress: het stuk software waarmee je titels, beschrijvingen en sitemaps voor Google regelt. Van de betaalde variant, Rank Math PRO, is versie 3.0.123 een tijdlang met kwaadaardige code verspreid. Dit heet een supply-chain-aanval: aanvallers breken niet in op jouw site, maar besmetten de software die je zelf installeert. Je update dus te goeder trouw en haalt zo de inbraak binnen.
Volgens het advies van Rank Math gaat het om downloads en updates tussen 15 oktober 2026 om 20:02 UTC en 16 oktober 2026 om 07:12 UTC. In Nederlandse tijd is dat van 22:02 uur op 15 oktober tot 09:12 uur op 16 oktober. BleepingComputer meldt dat de besmette bestanden via de officiële website van Rank Math werden verspreid, in een venster van ongeveer 11 uur.
Rank Math schrijft dat het de besmette bestanden direct heeft verwijderd en een schone versie heeft uitgebracht: Rank Math PRO 3.0.124. Hoe de malware in de plug-in terechtkwam, staat niet in het advies. Ook het aantal getroffen sites is niet bekendgemaakt. Rank Math spreekt van “a limited number of users”, een beperkt aantal gebruikers.
Waarom is dit zo ernstig?
De malware geeft aanvallers volgens Rank Math blijvende toegang tot je site. Hij kan wachtwoorden van je database, API-sleutels en andere geheimen blootleggen die op je server staan. Een API-sleutel is een soort wachtwoord waarmee je site praat met andere diensten, zoals je mailprovider of betaalprovider.
Het venijnige zit in het herstel. Volgens het advies bouwt de malware een verborgen achterdeur opnieuw op zodra iemand je site bezoekt. Zomaar de plug-in uitzetten of updaten naar 3.0.124 haalt het probleem daarom niet weg. Rank Math zegt dat letterlijk: deactiveren is niet genoeg.
SecurityWeek noemt daarnaast nepbestanden die lijken op onderdelen van WordPress zelf, aanpassingen in het .htaccess-bestand (een instellingenbestand van je webserver), geplande taken en gewijzigde plug-ins en thema’s. Ook wijzigingen buiten de WordPress-installatie zijn mogelijk.
Loop jij risico? Zo check je het
Log in op WordPress, ga naar Plug-ins en kijk of en welke versie van Rank Math PRO je draait. Het advies van Rank Math maakt onderscheid tussen drie situaties:
| Jouw situatie | Wat Rank Math adviseert |
|---|---|
| 3.0.123 geïnstalleerd en geactiveerd in het venster | Behandel de site als gehackt en volg het herstelplan hieronder. |
| 3.0.123 geïnstalleerd, maar nooit geactiveerd | Verwijder de bestanden, installeer 3.0.124 vanuit je account en doe een beveiligingsscan. |
| 3.0.123 alleen gedownload, niet geïnstalleerd | Volgens Rank Math is er dan door dit incident geen aanwijzing voor besmetting. |
Staan automatische updates aan voor je plug-ins? Dan kan je site de besmette versie in de nacht van 15 op 16 oktober zelf hebben binnengehaald, zonder dat iemand op een knop drukte. Kijk dus ook in je updatelog of bij je hostingpartij wanneer de update precies is uitgevoerd.
Rank Math noemt een aantal signalen dat je site besmet is:
- Onbekende beheerders, vooral met een gebruikersnaam die begint met wpsupport_ of een e-mailadres op wp-mail.net.
- Een nepbestand op wp-includes/class-wp-cache-util.php.
- Uitgaande verbindingen naar het domein rank1cdn.com.
- Regels in .htaccess die bestanden met de extensie .cache als PHP laten uitvoeren.
- PHP-bestanden in de map uploads, waar alleen afbeeldingen en documenten horen.
- Onbekende database-instellingen met de namen _uf6qdn2hmm, t8krdk990phb of _np5pvf754c.
De laatste twee punten kun je meestal niet zelf controleren zonder toegang tot de server. Vraag je hostingpartij of developer om mee te kijken.
Wat doe je als je site besmet kan zijn?
Rank Math geeft twee routes. De voorkeur gaat uit naar een schone back-up terugzetten.
Route 1: een schone back-up terugzetten
- Zet bestanden én database terug van een back-up van vóór 15 oktober 2026, 20:02 UTC (22:02 uur Nederlandse tijd).
- Draai een beveiligingsscan, bijvoorbeeld met Wordfence of Sucuri.
- Wijzig alle wachtwoorden en sleutels.
- Installeer Rank Math PRO 3.0.124.
Route 2: handmatig opschonen
Heb je geen bruikbare back-up, dan moet de site met de hand worden opgeschoond. De volgorde is hier belangrijk, omdat de malware zichzelf herstelt:
- Verwijder de complete map van rank-math-pro, haal de drie verdachte database-instellingen weg en blokkeer rank1cdn.com als je hosting of firewall dat toelaat.
- Zoek daarna naar andere wijzigingen: extra beheerders, nepbestanden in WordPress, aangepaste plug-ins en thema’s, .htaccess, geplande taken, de map uploads en zaken op serverniveau zoals SSH-sleutels.
- Wijzig alle inloggegevens.
- Controleer een aantal dagen of verwijderde bestanden terugkomen. Komen ze terug, herhaal dan stap 2 met hulp van een specialist.
Dit is geen klus voor een vrijdagmiddag tussendoor. Twijfel je, laat het dan doen door iemand die vaker sites opschoont. In ons artikel Website gehackt: wat doe je nu, en in welke volgorde? lees je ook hoe je omgaat met een Google-waarschuwing en wanneer je een datalek moet melden.
Welke wachtwoorden moet je wijzigen?
Rank Math noemt het wijzigen van inloggegevens essentieel, ook nadat je een back-up hebt teruggezet. Een back-up haalt de achterdeur weg, maar niet de gegevens die al gestolen kunnen zijn. Loop deze lijst langs:
- Wachtwoorden van alle WordPress-beheerders.
- Je hostingaccount en eventuele FTP- of SSH-toegang.
- Het wachtwoord van de database.
- De beveiligingssleutels en salts van WordPress. Dat zijn geheime codes in het bestand wp-config.php die inlogsessies beveiligen. Na het wijzigen moet iedereen opnieuw inloggen.
- API-sleutels en SMTP-gegevens, bijvoorbeeld van je mailingdienst, betaalprovider of koppelingen met andere systemen.
- Instellingen voor tweestapsverificatie.
Let ook op phishing. Rank Math schrijft dat het nooit inlog- of downloadlinks per e-mail stuurt. Download versie 3.0.124 daarom door zelf in te loggen op rankmath.com, niet via een link in een mail die je “toevallig” net nu krijgt.
Wat leert dit over je plug-ins?
Dit incident laat zien dat updaten niet automatisch veilig is. Normaal is snel updaten juist het beste advies, zoals bij het Bricksforge-lek van begin oktober. Dat advies blijft staan. Maar je hebt ook een vangnet nodig voor het moment dat een update zelf het probleem is.
- Dagelijkse back-ups die je ver terug kunt halen. Zonder schone back-up van vóór het incident wordt herstel veel lastiger en duurder.
- Weet wie wat installeert. Houd bij welke premium plug-ins je gebruikt en wie de licenties beheert. Premium plug-ins komen niet via WordPress.org, dus je ziet ze minder snel in algemene waarschuwingen.
- Minder plug-ins is minder risico. Elke plug-in is code van een andere partij die op je server draait. Gebruik je een functie niet, verwijder de plug-in dan.
- Monitoring. Een scan op gewijzigde bestanden en nieuwe beheerders vangt dit soort problemen eerder op.
Met onderhoud en hosting bij Smijters draaien sites op eigen servers met back-ups, updates en monitoring. Of je dat nu bij ons regelt of ergens anders: zorg dat iemand er dagelijks naar kijkt.
Veelgestelde vragen
Nee. Volgens Rank Math is alleen de betaalde PRO-versie 3.0.123 geraakt. De gratis plug-in uit WordPress.org was niet besmet.
Alleen als 3.0.123 nooit actief is geweest. Was de besmette versie wel actief, dan blijft de achterdeur volgens Rank Math bestaan na een update. Zet dan een schone back-up terug of schoon de site handmatig op, en wijzig daarna alle wachtwoorden.
Kijk in je updatelog, in de logbestanden van je hosting of vraag het je hostingpartij of developer. Het gevaarlijke venster liep van 15 oktober 22:02 uur tot 16 oktober 09:12 uur Nederlandse tijd.
Dat hangt ervan af of er persoonsgegevens kunnen zijn ingezien, zoals klantgegevens of formulierinzendingen. De malware kon volgens Rank Math toegang geven tot de database. Is je site besmet geweest en staan er persoonsgegevens in, beoordeel dan of je binnen 72 uur een melding moet doen bij de Autoriteit Persoonsgegevens.
Niet per se. Rank Math heeft een schone versie uitgebracht. Zorg wel dat je die zelf via je account downloadt, en dat je back-ups en monitoring op orde zijn voor de volgende keer dat een leverancier iets overkomt.