Backdoor in Rank Math PRO 3.0.123: is jouw WordPress-site geraakt? Dit moet je nu doen

Aanvallers hebben de betaalde WordPress-plugin Rank Math PRO voorzien van een backdoor. Het gaat om versie 3.0.123, die tussen 15 oktober 2026, 22:02 uur en 16 oktober 2026, 09:12 uur (Nederlandse tijd) werd verspreid via de officiële website en als update. De ontwikkelaars hebben de besmette bestanden verwijderd en een schone versie uitgebracht: Rank Math PRO 3.0.124.

Dit is geen gewoon lek dat je met een update dichtzet. De malware zat in de plugin zelf, zoals de makers hem uitleverden. Daardoor kregen ook beheerders die hun plugins netjes up-to-date houden de besmette versie binnen. Is de besmette versie op je site geactiveerd, dan moet je je website als gehackt beschouwen.

In het kort

Besmette versie: Rank Math PRO 3.0.123
Periode: 15 oktober 2026, 22:02 uur tot 16 oktober 2026, 09:12 uur (Nederlandse tijd)
Schone versie: Rank Math PRO 3.0.124, te downloaden via je account op rankmath.com
Niet geraakt: de gratis plugin Rank Math SEO van WordPress.org
Gevaar: een backdoor die zichzelf opnieuw aanmaakt, extra beheerdersaccounts en een nep-WordPress-bestand
Advies: zet een schone back-up van vóór 15 oktober 22:02 uur terug en vervang alle wachtwoorden en sleutels

Wil je snel een eerste indruk van je site? Vul je URL in bij onze gratis WordPress Security Scanner. Een scan van buitenaf kan een backdoor niet met zekerheid uitsluiten. Bij twijfel volg je altijd de stappen hieronder.

Ben ik geraakt? Drie situaties

Versie 3.0.123 geïnstalleerd én geactiveerd: beschouw je site als gehackt en volg alle stappen hieronder.
Versie 3.0.123 geïnstalleerd, maar nooit geactiveerd: verwijder de pluginmap, installeer de schone versie 3.0.124 en laat voor de zekerheid een beveiligingsscan draaien.
Alleen gedownload, niet geïnstalleerd: volgens Rank Math is er dan geen aanwijzing dat je site is besmet.

Gebruik je alleen de gratis Rank Math SEO? Dan hoef je niets te doen.

De beste oplossing: een schone back-up terugzetten

Zet website én database terug van een back-up van vóór 15 oktober 2026, 22:02 uur. Let op: bestellingen, berichten en formulierinzendingen van daarna verdwijnen dan. Exporteer die eerst als je ze nodig hebt.
Laat een beveiligingsscan draaien, bijvoorbeeld met Wordfence of Sucuri.
Vervang alle wachtwoorden en sleutels (zie verderop).
Installeer de schone versie 3.0.124, die je downloadt via je account op rankmath.com.

Geen back-up? Zo ruim je het handmatig op

Werk je niet graag met bestanden, de database of serverinstellingen? Laat dit dan doen door je hostingpartij of een beveiligingsspecialist. Houd de volgorde aan: de malware maakt zijn backdoor opnieuw aan zodra iemand je site bezoekt. Haal dus eerst het mechanisme weg dat de malware herbouwt.

Stap 1: voorkom dat de malware zichzelf herbouwt

Verwijder de complete map wp-content/plugins/rank-math-pro. Alleen deactiveren is niet genoeg.
Verwijder de kwaadaardige regel in de database. Zoek in de tabel wp_options naar een option_name met een van deze waarden en verwijder die: _uf6qdn2hmm, t8krdk990phb of _np5pvf754c.
Blokkeer het domein rank1cdn.com voor uitgaand verkeer, als je hosting of firewall dat ondersteunt.

Stap 2: zoek de sporen die de aanvaller achterliet

Verborgen PHP-bestanden in wp-content/mu-plugins/, in mappen van andere plugins en in de mappen inc/, includes/ en lib/ van je thema. Let op code met base64_decode in combinatie met XOR-lussen, de sleutel xmmqhn of proc_open.
Onbekende beheerders, zoals gebruikersnamen die beginnen met wpsupport_, of e-mailadressen die eindigen op @wp-mail.net.
Een nep-WordPress-bestand: wp-includes/class-wp-cache-util.php hoort niet bij WordPress. Verwijder het en zet de WordPress-kernbestanden opnieuw neer vanaf een officiële bron.
Het .htaccess-bestand: kijk of er regels in staan waardoor .cache-bestanden als PHP worden uitgevoerd, en zoek naar .cache-bestanden met PHP-code.
Geplande taken: cronjobs met de markering #ms6v46, en onbekende geplande WordPress-taken.
PHP-bestanden in wp-content/uploads/. Daar horen ze normaal niet.
De server zelf, als je daar toegang toe hebt: SSH-sleutels, crontabs en processen. Op gedeelde hosting vraag je dit aan je hostingpartij.

Stap 3: vervang alle wachtwoorden en sleutels

Dit is ook nodig als je een back-up hebt teruggezet. Ga ervan uit dat alles waar je website bij kon, is uitgelekt.

wachtwoorden van alle WordPress-gebruikers;
de databasegegevens in wp-config.php;
de beveiligingssleutels (salts) in wp-config.php, zodat alle bestaande inlogsessies ongeldig worden;
API-sleutels van bijvoorbeeld je betaalprovider, SMTP of mailingdienst;
je hostingaccount, FTP/SFTP en SSH;
tweestapsverificatie van beheerders: controleer en stel die zo nodig opnieuw in.

Stap 4: controleer of je site echt schoon is

Laat opnieuw een beveiligingsscan draaien.
Controleer de WordPress-kernbestanden en plugins met hun officiële checksums.
Houd de komende dagen in de gaten of verwijderde bestanden terugkomen of of er vreemd verkeer is. Komt er iets terug, dan is de opruiming niet volledig.

Pas op voor nep-mails

Rank Math stuurt nooit inlog- of downloadlinks per e-mail. Ga voor de schone versie altijd zelf naar rankmath.com en log daar in. Krijg je een mail met een link om je wachtwoord te resetten of de plugin te downloaden? Wantrouw die: aanvallers maken graag misbruik van dit soort incidenten.

Wat leer je hiervan?

Back-ups zijn je reddingsboei. Bewaar dagelijkse back-ups een paar weken, op een andere plek dan je website.
Gebruik zo min mogelijk plugins. Elke plugin is een extra leverancier die je moet vertrouwen.
Gebruik voor elke dienst een eigen, sterk wachtwoord en zet tweestapsverificatie aan.
Houd beveiligingsnieuws bij. Bij dit soort incidenten telt elke dag.

Hulp nodig?

Twijfel je of je website geraakt is, of heb je geen bruikbare back-up? WordPress4You controleert je site op alle bekende sporen van deze aanval, zet een schone back-up terug of ruimt de besmetting handmatig op, en vervangt alle toegangsgegevens. Neem contact met ons op.

Bronnen: de officiële aankondiging van Rank Math (“Rank Math PRO 3.0.123 Security Incident”) en Security.nl, 20 oktober 2026.

📬

Meer WordPress-tips in je inbox? Wekelijkse nieuwsbrief — geen spam, altijd afmeldbaar.