Las copias de Rank Math PRO, plugin SEO de pago para WordPress, descargadas o actualizadas entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 traían una puerta trasera. Si tu web lo instaló y activó en esa ventana, trátala como comprometida: restaura una copia anterior, cambia todas las credenciales e instala la 3.0.124.
Lo esencial
- La ventana afectada va de las 20:02 UTC del 15 de octubre a las 07:12 UTC del 16 de octubre, unas 11 horas, según el aviso de Rank Math recogido por The Hacker News.
- Wordfence asignó el identificador CVE-2026-111862, con una puntuación de 9,8 sobre 10. Patchstack dice que no es posible una regla de mitigación, porque el ataque se produjo en los sistemas del propio proveedor (SecurityWeek).
- El número de versión no basta: el changelog fecha la 3.0.123 el 7 de octubre. Solo están afectadas las copias descargadas o actualizadas dentro de la ventana.
- La versión limpia es la 3.0.124. Instalarla no elimina los archivos, administradores ni tareas programadas que el malware ya haya dejado, según Wordfence.
- Solo afecta a la versión PRO. El plugin gratuito de WordPress.org, con más de 4 millones de instalaciones activas, no aparece en el aviso.
¿Me afecta si uso Rank Math?
Solo si usas la versión PRO, la que se descarga y actualiza desde rankmath.com. Si tu web, tu tienda online o tu blog la tienen, tienes que averiguar cuándo se instaló o actualizó por última vez. Si eres agencia, esto aplica a cada sitio de cliente.
El problema es que Rank Math no ha explicado cómo entraron los archivos maliciosos en su sistema de descargas, cuántos clientes los recibieron ni si las actualizaciones automáticas los distribuyeron. Si las tienes activadas, no lo des por descartado: pregunta a tu proveedor web.
¿Qué puede hacer el malware en mi servidor?
Bastante. Crea una puerta trasera oculta que puede regenerarse cada vez que alguien visita la web. Se comunica con el dominio rank1cdn[.]com y puede crear administradores, modificar otros plugins y temas, cambiar el .htaccess para que los archivos .cache se ejecuten como PHP, añadir tareas programadas y claves SSH, y crear el archivo wp-includes/class-wp-cache-util.php, que no pertenece a WordPress.
BleepingComputer encontró en VirusTotal una muestra PHP que parece ser el primer escalón del ataque. Puede ejecutar comandos, modificar la base de datos y robar credenciales de AWS, Cloudflare, Google Cloud y Azure, además de claves SSH. Es decir, el riesgo no se queda en la web: alcanza cualquier servicio al que el servidor tuviera acceso.
Qué hacer hoy
- Comprueba si tus webs usan Rank Math PRO y cuándo se instaló o actualizó. Si la web la gestiona una agencia o proveedor, pregúntaselo hoy, sobre todo si las actualizaciones son automáticas.
- Si se instaló y activó dentro de la ventana, restaura una copia de seguridad anterior a las 20:02 UTC del 15 de octubre y analiza el sitio.
- Cambia todas las contraseñas de WordPress, las credenciales de la base de datos, las claves API y las de cualquier servicio en la nube al que llegara el servidor.
- Solo después, instala la 3.0.124 descargada directamente desde tu cuenta de rankmath.com.
- Si no tienes copia limpia, borra la carpeta completa del plugin (desactivarlo no basta), elimina las entradas maliciosas de la base de datos y busca archivos PHP sospechosos, administradores desconocidos, tareas programadas, claves SSH añadidas y cambios en el .htaccess.
- Bloquea las conexiones salientes a rank1cdn[.]com.
- Si el plugin se instaló pero nunca se activó, bórralo, instala la 3.0.124 y analiza el sitio.
- Si la web trata datos personales de clientes, valora con tu DPO o asesor si hay que evaluar una posible brecha según el RGPD.
Qué significa para una pyme
Quien se infectó aquí hizo lo que siempre se recomienda: pagar por un plugin y mantenerlo actualizado. El ataque llegó por el canal oficial del fabricante, y por eso ninguna regla de cortafuegos podía pararlo. Según The Hacker News, es al menos el tercer caso este año de un plugin premium de WordPress que entrega versiones con puerta trasera a través de su propio sistema de actualizaciones.
Nuestra lectura: no tiene sentido dejar de actualizar, porque los plugins desactualizados son otro riesgo. Lo que sí tiene sentido es prepararse para cuando el proveedor falle. Eso supone tres cosas. Copias de seguridad con varios días de retención, para poder volver a un punto concreto. Un inventario de plugins de pago y de quién controla sus actualizaciones. Y que el servidor web no guarde más credenciales de las imprescindibles: si tu WordPress tiene claves de AWS o Azure con permisos amplios, un plugin SEO comprometido se convierte en un problema de toda tu infraestructura.
Si no tienes claro quién gestiona tus webs o qué credenciales viven en ese servidor, es el momento de averiguarlo. Si necesitas ayuda para revisarlo, puedes consultar nuestro servicio de ciberseguridad.
Preguntas frecuentes
¿Uso la versión gratuita de Rank Math, tengo que hacer algo?
El plugin gratuito de WordPress.org no aparece en el aviso. El incidente afecta solo a la versión PRO distribuida desde rankmath.com.
¿Si tengo la versión 3.0.123 estoy infectado?
No necesariamente. Solo están afectadas las copias descargadas o actualizadas entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16. Lo que importa es la fecha, no el número.
¿Basta con desactivar el plugin o actualizar a la 3.0.124?
No. Desactivarlo no elimina el malware, y la 3.0.124 tampoco borra los archivos, administradores ni tareas programadas que ya haya creado.
