Rank Math SEO PRO 3.0.123: sommige downloads bevatten malware, zo controleer je je site

Gebruik je Rank Math SEO PRO op je WordPress-website? Dan is het verstandig om vandaag te controleren welke versie je hebt en wanneer je die hebt binnengehaald. Volgens meerdere beveiligingsberichten heeft Rank Math bevestigd dat een beperkt aantal downloads van versie 3.0.123 van de PRO-plugin is besmet met malware. Het gaat om een zogeheten supply-chain-aanval: niet jouw website werd aangevallen, maar het bestand dat je van de leverancier downloadt.

Wat is er gebeurd?

Volgens de berichtgeving, waaronder een waarschuwing van Wordfence en samenvattingen op beveiligingssites, kregen gebruikers die Rank Math PRO 3.0.123 downloadden tussen 15 oktober 2026 om 20.02 uur UTC en 16 oktober 2026 om 07.12 uur UTC mogelijk bestanden met schadelijke code. Het bedrijf spreekt zelf van een beperkt aantal gebruikers. Hoeveel websites precies zijn geraakt, is in de bronnen die wij hebben gezien niet duidelijk.

Het gaat dus om een tijdvenster van ruim elf uur. Heb je de plugin daarbuiten gedownload of bijgewerkt, dan valt je download volgens de berichten niet onder dit incident.

Wat kan de malware doen?

De bronnen verschillen in detail. Een samenvatting meldt dat de code verbinding kan maken met een externe server, verborgen achterdeurtjes kan herstellen en toegangsgegevens kan blootleggen, zoals wachtwoorden van WordPress en de database en API-sleutels. Dat is voor een webshop of bedrijfssite een serieus risico. Die details komen uit slechts een deel van de berichten, dus gebruik ze als aanwijzing en niet als sluitend technisch rapport. Voor de exacte aanwijzingen, zoals verdachte beheerdersaccounts en domeinnamen, kun je het beste de melding van Rank Math zelf en de waarschuwing van Wordfence raadplegen.

Er is ook verschil in hoe de bronnen het incident omschrijven. De ene bron zegt dat er geen grootschalig misbruik is gemeld, een andere noemt het misbruik in het wild. Wij nemen daarom geen conclusie over over de omvang.

Wat moet je nu doen?

Rank Math heeft de besmette bestanden volgens de berichten verwijderd en een schone versie uitgebracht, 3.0.124. Het advies uit de berichtgeving komt op het volgende neer:

• Controleer in je Rank Math-account of je 3.0.123 hebt gedownload tussen 15 oktober 20.02 uur en 16 oktober 07.12 uur UTC. Let op: UTC loopt in Nederland momenteel twee uur achter, dus dat is van 22.02 uur op 15 oktober tot 09.12 uur op 16 oktober, Nederlandse tijd.
• Heb je het bestand alleen gedownload en niet geactiveerd, dan zou dat volgens de vermelde adviezen niet betekenen dat je site besmet is.
• Is een mogelijk besmette versie wel geactiveerd? Dan is alleen updaten niet genoeg, omdat de malware sporen kan achterlaten. Het advies is om je site en database terug te zetten vanaf een back-up van vóór dat tijdvenster, de site te scannen, wachtwoorden en andere toegangsgegevens te vervangen en daarna de schone versie 3.0.124 te installeren.
• Kijk of er beheerdersaccounts zijn die je niet kent.

Wat betekent dit voor jou als ondernemer?

Dit stuk is onze eigen duiding. Een SEO-plugin lijkt onschuldig, maar draait met de rechten van je hele website. Als zo'n plugin besmet raakt, heeft de aanvaller ruime toegang. Een recente, geteste back-up is op zo'n moment goud waard. Zonder back-up van vóór het incident wordt herstellen veel lastiger.

Hoe een andere plugin recent actief werd misbruikt, lees je in ons artikel over het Bricksforge-lek, en een eerder voorbeeld van een onderschepte besmette plugin vind je in onze bespreking van de WordPress plugin backdoor.

Wil je niet zelf elke melding in de gaten houden? Wij regelen updates, back-ups en monitoring in ons onderhoud en beheer van je website, zodat jij je kunt richten op je bedrijf. Meer updates lees je op onze nieuwspagina.

Bronnen: Wordfence (PSA via Vulners), SecurityOnline, Malware News, SQ Magazine, BugShield.