Rank Math Support Agent: SEO-Plugin auf 4 Millionen Seiten erstellte Admin-Passwörter ohne Einwilligung, das müssen Sie jetzt prüfen

Veröffentlicht: 07.09.2026 · Letzte Aktualisierung: 07.09.2026

Was ist passiert?

Kurzfassung: Rank Math, eines der meistinstallierten SEO-Plugins für WordPress, hat mit Version 1.0.277 eine Funktion namens Support Agent eingeführt. Diese Funktion erstellte beim Öffnen des Bereichs Help & Support automatisch ein WordPress Application Password mit den Rechten des gerade angemeldeten Nutzers und übertrug es an Server von group.one. Eine vorherige Einwilligung gab es nicht. Nach massiver Kritik aus der WordPress-Community hat Rank Math den Support Agent mit Version 1.0.277.2 wieder entfernt.

Öffentlich gemacht hat den Fall Sybre Waaijer, der Entwickler des konkurrierenden SEO-Plugins The SEO Framework. Am 29. August 2026 beschrieb er auf X im Detail, was die neue Version im Hintergrund tut. Seine Formulierung war deutlich: Beim letzten vergleichbaren Fall habe er so etwas als Backdoor eingestuft, diesmal überlasse er die Bewertung den Lesern. Wichtig für die Einordnung: Der Begriff Backdoor ist hier ein Vorwurf aus der Community, keine bestätigte Kategorisierung. Rank Math widerspricht dieser Lesart und beschreibt die Funktion als missglückt kommunizierten Support-Mechanismus.

Brisant ist der Kontext. Rank Math gehört zur group.one-Gruppe, einem europäischen Hosting- und Software-Konzern, zu dem unter anderem auch das Caching-Plugin WP Rocket gehört. Die Application Passwords landeten also nicht bei einem kleinen Plugin-Anbieter, sondern bei einem Unternehmen, das eine ganze Reihe verbreiteter WordPress-Produkte betreibt. Und die Reaktion der Community fiel entsprechend heftig aus: In den Foren und auf X kündigten Nutzer den Wechsel zu anderen SEO-Plugins an, Search Engine Journal berichtete zudem über den Vorwurf, dass ein kritischer Thread im Rank-Math-Supportforum gelöscht worden sei.

Dass die Aufregung so groß war, hat auch mit dem Zeitpunkt zu tun. Die WordPress-Welt diskutiert seit Monaten intensiv darüber, wie viel Kontrolle Plugin-Hersteller über die Websites ihrer Nutzer haben sollten und wie transparent Cloud-Anbindungen sein müssen. Ein SEO-Plugin, das auf Millionen von Seiten läuft und sich im Hintergrund selbst einen Admin-Zugang erstellt, trifft genau diesen Nerv. Für viele Beobachter war weniger die Funktion selbst das Problem als die Art der Einführung: still, ohne Ankündigung im Changelog-Rampenlicht und ohne die Freigabe, die WordPress für genau diesen Mechanismus vorsieht.

Am 31. August 2026, zwei Tage nach der Veröffentlichung von Waaijers Analyse, zog Rank Math die Funktion mit Version 1.0.277.2 zurück. In der zugehörigen Stellungnahme räumt das Unternehmen ein, dass der Zustimmungsprozess nicht klar genug war, und kündigt an, den Support Agent später mit einem expliziten Freigabedialog wieder einzuführen.

Die technischen Details

Der Vorfall lässt sich präzise nachvollziehen, weil sowohl Waaijers Analyse als auch die Stellungnahme von Rank Math öffentlich sind. Die Kernpunkte beider Seiten im Überblick.

Wie das Application Password entstand

Application Passwords sind also ein legitimes Werkzeug, und genau deshalb sieht die offizielle WordPress-Dokumentation einen Autorisierungsbildschirm vor. Die Anwendung stellt sich vor, der Nutzer bestätigt oder lehnt ab, und erst nach der Bestätigung erhält die Anwendung das Passwort. So arbeiten seriöse Integrationen seit Jahren, von mobilen Apps bis zu Backup-Diensten.

Rank Math 1.0.277 hat diesen Weg laut Waaijers Analyse abgekürzt. Der Ablauf sah so aus:

• Ein angemeldeter Nutzer öffnet im WordPress-Backend den Bereich Help & Support des Plugins. Voraussetzung: Die Website ist mit einem rankmath.com-Konto verbunden, das kostenlose Konto genügt.
• Das Plugin erstellt sofort ein Application Password für genau diesen Nutzer. Zuständig ist die mitgelieferte Datei vendor/groupone/wap-client/includes/class-app-password-manager.php.
• Das Passwort übernimmt die Rechte des angemeldeten Nutzers. Öffnet ein Administrator den Support-Bereich, entsteht ein Zugang mit Administratorrechten.
• Das Passwort wird an Server von group.one übertragen, damit deren KI-Agent auf der Website agieren kann.

Besonders kritisch sind drei Punkte. Erstens: Der Eintrag erscheint zwar im Nutzerprofil unter dem Namen „WAP – Rank Math Support Agent“, hat aber kein Ablaufdatum. Zweitens: Das Schließen des Support-Tabs widerruft den Zugang nicht. Drittens: Zwar zeigte das Plugin eine Checkbox für die Terms & Conditions an, doch die verhinderte die Erstellung nicht. Nach Waaijers Analyse begann die Übertragung, bevor die Checkbox überhaupt erschien. Eine Möglichkeit, den Support Agent abzuschalten, gab es in 1.0.277 nicht.

Damit kollidiert der Mechanismus mit den Plugin-Richtlinien von WordPress.org. Die verlangen für die Kommunikation mit externen Servern eine ausdrückliche und autorisierte Einwilligung, typischerweise per Opt-in. Ein Zugang, der ohne Nachfrage entsteht und erst durch manuelles Widerrufen wieder verschwindet, ist das Gegenteil davon.

KI-generiert

Was Rank Math dazu sagt

Rank Math hat auf die Kritik mit einem eigenen Knowledge-Base-Artikel reagiert. Die folgenden Punkte sind Herstellerangaben und lassen sich von außen nicht unabhängig überprüfen. Das Unternehmen erklärt, die Credentials seien verschlüsselt übertragen worden, auf Seiten von group.one nicht gespeichert oder persistiert worden und nur während einer aktiven Agent-Sitzung zum Einsatz gekommen. Der Support Agent sei zudem rein lesend unterwegs gewesen und habe keine Änderungen an der Website vornehmen können. Er habe die Rolle des angemeldeten Nutzers geerbt und keine darüber hinausgehenden Rechte erlangt.

Interessant ist die strategische Einordnung, die Rank Math selbst liefert: Der Support Agent war als erster Schritt in Richtung Agentic SEO gedacht, also KI-Agenten, die direkt auf der WordPress-Website von Nutzern handeln. Das Unternehmen kündigt an, die Funktion werde zurückkehren, dann aber mit einem Dialog, der in klarer Sprache erklärt, welcher Zugriff angefragt wird, bevor Zugangsdaten erstellt werden. Die Selbstkritik fällt dabei durchaus deutlich aus: Wer einem KI-Agenten die Erstellung eines Application Passwords erlaubt, müsse klar und direkt erfahren, was passiert und was er da freigibt. Dieses Feedback sei fair, man übernehme die Verantwortung.

Fair bewertet: Rank Math hat schnell reagiert, die Funktion binnen weniger Tage entfernt und die Kritik nicht kleingeredet. Das eigentliche Problem bleibt trotzdem bestehen. Vertrauen in ein Plugin mit Vollzugriff auf die Website ist die Geschäftsgrundlage, und ein Admin-Zugang, der ohne Nachfrage entsteht, beschädigt genau dieses Vertrauen. Ob die Zusagen zur Verschlüsselung und Nichtspeicherung zutreffen, müssen Sie dem Hersteller glauben. Prüfen können Sie es nicht.

Die Sicherheitsfixes im selben Release

Der Zeitpunkt des Vorfalls ist doppelt unglücklich, denn dasselbe Release 1.0.277 schließt mehrere ernsthafte Sicherheitslücken. Wer jetzt aus Verärgerung auf einer alten Version bleibt, handelt sich ein anderes Problem ein:

• CVE-2026-81757: Remote Code Execution durch unsichere Deserialisierung, von Patchstack mit CVSS 7.2 bewertet. Angemeldete Nutzer ab der Autor-Rolle können beliebigen PHP-Code auf dem Server ausführen. Betroffen sind alle Versionen bis einschließlich 1.0.276.
• CVE-2026-77786: Nutzer mit Editor-Rolle können über die automatischen SEO-Fixes seitenweite WordPress-Einstellungen ändern, die Administratoren vorbehalten sind (Versionen 1.0.271 bis 1.0.276).
• CVE-2026-77784: Autoren können SEO-Metadaten fremder Inhalte ändern und fremde Inhalte aus Sitemap und Suchindex entfernen (vor 1.0.277).
• CVE-2026-77787: Eine fehlende Berechtigungsprüfung bei Massen-Updates erlaubt Autoren, Metadaten fremder Taxonomie-Begriffe zu ändern und Titel fremder Beiträge zu überschreiben (vor 1.0.277).

Waaijer spricht davon, dass Rank Math mit 1.0.277 rund ein Dutzend Sicherheitsprobleme geschlossen habe. Diese Zahl ist nicht unabhängig bestätigt, die vier oben genannten CVEs sind es. Die Konsequenz ist unbequem, aber eindeutig: Der einzige sichere Stand ist 1.0.277.2 oder neuer. Ein Downgrade auf 1.0.276 oder älter öffnet die RCE-Lücke wieder.

Wer ist betroffen?

Betroffen vom Credential-Problem sind Websites, auf die drei Bedingungen gleichzeitig zutreffen. Erstens: Rank Math lief in Version 1.0.277 oder 1.0.277.1. Zweitens: Die Website war mit einem rankmath.com-Konto verbunden, auch das kostenlose Konto zählt. Drittens: Ein angemeldeter Nutzer hat in diesem Zeitraum den Bereich Help & Support geöffnet. Erst dann wurde das Application Password erstellt, und zwar mit den Rechten genau dieses Nutzers.

Das klingt nach einer engen Schnittmenge, ist es in der Praxis aber nicht. Der Support-Bereich ist ein normaler Anlaufpunkt bei Fragen, und die Verbindung mit einem Rank-Math-Konto ist Voraussetzung für viele Funktionen des Plugins. Bei über 4 Millionen Installationen bleibt auch bei konservativer Schätzung eine große Zahl real betroffener Websites.

Besonders relevant ist der Fall für Agenturen und Freelancer, die viele Kundenseiten mit Rank Math betreuen. Hier reicht es nicht, die eigene Hauptseite zu prüfen. Jede einzelne Kundeninstallation mit verbundenem Konto ist ein möglicher Kandidat, und auf jeder davon muss die Liste der Application Passwords aller Administratoren kontrolliert werden. Wer Wartungszugänge über Admin-Konten abwickelt, hat unter Umständen auf Dutzenden Seiten Einträge zu widerrufen.

Wer noch auf Version 1.0.276 oder älter steht, ist vom Credential-Thema nicht betroffen. Entwarnung ist das trotzdem nicht: Diese Versionen enthalten die oben beschriebene RCE-Lücke CVE-2026-81757 und die drei weiteren CVEs. Es gibt keinen guten Grund, auf einem alten Stand zu bleiben. Aktualisieren Sie direkt auf 1.0.277.2 oder neuer.

KI-generiert

DSGVO und digitale Souveränität

Ein Administrator-Zugang ist aus Datenschutzsicht der Generalschlüssel: Wer ihn hat, kommt an alle personenbezogenen Daten der Website, von Kundenkonten über Bestellungen bis zu Formulareinsendungen und Kommentaren. Wenn ein solcher Zugang ohne Wissen des Verantwortlichen an einen externen Dienstleister übertragen wird, ist das nicht nur ein technisches Thema, sondern auch ein datenschutzrechtliches.

Konkret stellen sich zwei Fragen. Erstens die nach der Auftragsverarbeitung: Wenn group.one über den Agent-Zugang auf Ihre Website und damit potenziell auf personenbezogene Daten zugreifen kann, braucht dieses Verhältnis nach Art. 28 DSGVO eine vertragliche Grundlage. Eine solche haben die wenigsten Betroffenen bewusst geschlossen. Zweitens die nach den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO: Ein Zugang mit Adminrechten, ohne Ablaufdatum und ohne Einwilligung erstellt, passt schwer zu dem Schutzniveau, das Sie als Verantwortlicher sicherstellen müssen. Prüfen Sie außerdem, wo die Server stehen, die solche Zugänge entgegennehmen, und welche Rechtsgrundlage der Anbieter dafür nennt.

Was heißt das praktisch? Dokumentieren Sie den Vorfall für Ihre eigene Rechenschaftspflicht: betroffene Websites, Plugin-Versionen, gefundene und widerrufene Application Passwords, Zeitpunkte. Wenn Ihr Unternehmen einen Datenschutzbeauftragten hat, informieren Sie ihn. Ob im Einzelfall eine Meldepflicht nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde besteht, hängt von Ihrer Risikobewertung ab, etwa davon, ob der Zugang tatsächlich genutzt wurde und welche Daten erreichbar waren. Diese Bewertung kann Ihnen niemand pauschal abnehmen, und dieser Beitrag ist keine Rechtsberatung.

Der Vorfall zeigt exemplarisch, warum digitale Souveränität mehr ist als ein Schlagwort. Je mehr Funktionen ein Plugin an externe Cloud-Dienste koppelt, desto weniger Kontrolle behalten Sie darüber, wer wann auf Ihre Website zugreift. Wie Sie Ihre WordPress-Infrastruktur so aufstellen, dass Daten und Zugänge unter Ihrer Kontrolle bleiben, haben wir auf unserer Seite zur digitalen Souveränität zusammengefasst. Ergänzend lohnt ein Blick auf unser Konzept für WordPress-Sicherheit aus einer Hand.

KI-generiert

Das sollten Sie jetzt tun

Die gute Nachricht: Die Prüfung dauert pro Website nur wenige Minuten. Gehen Sie die folgenden Schritte in dieser Reihenfolge durch:

• Update einspielen: Aktualisieren Sie Rank Math auf Version 1.0.277.2 oder neuer. Damit ist der Support Agent entfernt und die vier CVEs des 1.0.277-Zweigs sind geschlossen.
• Application Passwords prüfen: Öffnen Sie für jeden Administrator (und sicherheitshalber für alle Nutzer ab der Autor-Rolle) das Profil unter Benutzer, Profil, Anwendungspasswörter. Widerrufen Sie jeden Eintrag, der mit „WAP“ beginnt, insbesondere „WAP – Rank Math Support Agent“. Das Update allein entfernt bereits erstellte Passwörter nicht.
• Unbekannte Einträge hinterfragen: Nutzen Sie die Gelegenheit für eine Inventur. Jedes Application Password, das Sie keinem aktiven Dienst zuordnen können, gehört widerrufen.
• Login- und Zugriffsprotokolle sichten: Prüfen Sie, ob es im fraglichen Zeitraum ungewöhnliche REST-API-Zugriffe oder Anmeldungen gab, sofern Ihr Hosting oder Ihr Security-Plugin das protokolliert.
• Agentur-Fall: Wiederholen Sie die Prüfung auf jeder betreuten Kundenseite mit Rank Math und dokumentieren Sie die Ergebnisse pro Website.
• Vorfall dokumentieren: Halten Sie fest, was Sie wann geprüft und widerrufen haben, und informieren Sie Ihren Datenschutzbeauftragten.

Über den akuten Fall hinaus lohnt sich eine grundsätzliche Konsequenz: Behandeln Sie Application Passwords wie jeden anderen privilegierten Zugang. Das heißt, sie gehören in Ihr Zugangs-Inventar, sie werden bei Mitarbeiter- oder Dienstleisterwechseln mit geprüft, und ihre Liste wird in einem festen Rhythmus kontrolliert, etwa im Rahmen der monatlichen Wartung. Der Rank-Math-Vorfall wurde von außen entdeckt, von einem aufmerksamen Entwickler. Die einzige Kontrolle, die Sie selbst in der Hand haben, ist der regelmäßige Blick auf das, was in Ihrer WordPress-Installation an Zugängen existiert.

Für unsere Wartungskundschaft haben wir diese Schritte bereits umgesetzt: Update auf 1.0.277.2, Prüfung der Application Passwords und Kontrolle auf verwaiste Einträge liefen über die WordPress Wartung. Wenn Sie unsicher sind, ob Ihre Website betroffen war, oder Verdacht auf Missbrauch haben, melden Sie sich über unseren Notfall-Service.

Häufige Fragen zum Rank-Math-Vorfall

Woran erkenne ich, ob meine Website betroffen war?

Prüfen Sie zwei Dinge. Erstens die Plugin-Historie: Lief bei Ihnen Version 1.0.277 oder 1.0.277.1 mit verbundenem rankmath.com-Konto? Zweitens die Anwendungspasswörter: Öffnen Sie im WordPress-Backend Benutzer, Profil, Anwendungspasswörter bei allen Administratoren. Ein Eintrag namens „WAP – Rank Math Support Agent“ ist der eindeutige Beleg, dass der Zugang erstellt wurde.

Reicht das Update auf 1.0.277.2, um das Problem zu beheben?

Nein, das Update allein genügt nicht. Version 1.0.277.2 entfernt den Support Agent und verhindert, dass neue Zugänge entstehen. Bereits erstellte Application Passwords bleiben jedoch gültig, bis Sie sie im Nutzerprofil manuell widerrufen. Erst Update plus Widerruf schließt den Vorgang vollständig ab.

Muss ich den Vorfall der Datenschutzbehörde melden?

Das lässt sich nicht pauschal beantworten. Eine Meldepflicht nach Art. 33 DSGVO besteht, wenn die Schutzverletzung voraussichtlich zu einem Risiko für Betroffene führt. Dokumentieren Sie den Vorfall in jedem Fall intern, binden Sie Ihren Datenschutzbeauftragten ein und bewerten Sie das Risiko im Einzelfall, etwa ob der Zugang aktiv genutzt wurde. Im Zweifel holen Sie rechtlichen Rat ein.

Sollte ich Rank Math jetzt deinstallieren?

Aus rein technischer Sicht ist das nicht zwingend. Version 1.0.277.2 enthält den Support Agent nicht mehr und schließt zugleich mehrere Sicherheitslücken älterer Versionen. Ob Sie dem Anbieter nach diesem Vorfall weiter vertrauen, ist eine legitime strategische Frage. Wenn Sie wechseln möchten, planen Sie die Migration der SEO-Daten sorgfältig, ein überstürzter Wechsel kostet sonst Rankings.

Was sind Application Passwords überhaupt und sind sie gefährlich?

Application Passwords sind seit WordPress 5.6 ein Kernfeature. Sie erlauben Anwendungen den Zugriff auf die REST-API mit eigenen, einzeln widerrufbaren Zugangsdaten und sind an sich ein sinnvolles Sicherheitswerkzeug. Problematisch wird es erst, wenn sie ohne Wissen und Einwilligung des Nutzers erstellt und an Dritte übertragen werden, wie in diesem Fall geschehen.

Quellen: Search Engine Journal zur Disclosure von Sybre Waaijer · Stellungnahme von Rank Math · Patchstack zu CVE-2026-81757 · NVD zu CVE-2026-77786