Una actualización comprometida del popular plugin SEO Rank Math PRO permitió distribuir código malicioso capaz de recuperar su acceso oculto incluso después de ser eliminado. Los administradores que instalaron la versión afectada durante unas horas de octubre deben revisar sus servidores: actualizar el complemento no basta para garantizar su seguridad.
Una grave brecha de seguridad en Rank Math PRO ha puesto en alerta a los propietarios y administradores de páginas web creadas con WordPress. El conocido complemento de posicionamiento SEO fue utilizado para distribuir una actualización con código malicioso capaz de instalar una puerta trasera persistente en los servidores afectados.
La propia empresa Rank Math reconoció el incidente en un aviso de seguridad publicado el 16 de octubre de 2026, después de detectar que determinadas copias de su plugin premium habían sido comprometidas.
El problema afectó a las descargas y actualizaciones distribuidas desde sus sistemas oficiales entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre de 2026.
Durante ese intervalo, los usuarios que instalaron y activaron una copia manipulada de Rank Math SEO PRO 3.0.123 pudieron introducir involuntariamente código malicioso en sus propias páginas web.
La amenaza es especialmente preocupante porque el malware puede reconstruir una puerta trasera oculta cada vez que alguien visita la página, incluso después de que se hayan eliminado determinados archivos sospechosos.
La compañía ha publicado una versión limpia, Rank Math PRO 3.0.124, pero los especialistas de seguridad advierten de que instalarla no elimina necesariamente los cambios realizados por los atacantes.
La firma Wordfence ha identificado el incidente con el código CVE-2026-111862 y le ha asignado una gravedad de 9,8 puntos sobre 10, una calificación crítica.
La información, publicada por The Hacker News el 19 de octubre, pone de manifiesto un problema que va mucho más allá de una vulnerabilidad convencional: los ciberdelincuentes consiguieron utilizar el propio canal de distribución del proveedor para hacer llegar software malicioso a sus clientes.
Qué ha ocurrido con Rank Math PRO y por qué es tan grave
Rank Math es uno de los complementos más conocidos del ecosistema WordPress para gestionar el posicionamiento en buscadores.
Permite configurar títulos SEO, metadescripciones, mapas del sitio, datos estructurados y numerosas funciones relacionadas con la visibilidad de las páginas web en Google y otros motores de búsqueda.
Su versión de pago, Rank Math PRO, incorpora funcionalidades adicionales y se distribuye a través de los sistemas comerciales de la propia compañía.
Precisamente ese mecanismo de distribución fue el utilizado para introducir los archivos maliciosos.
Según el aviso de Rank Math, determinadas copias del plugin descargadas o recibidas como actualización durante la ventana afectada contenían malware.
Esto significa que un administrador podía comprometer su web sin visitar una página fraudulenta ni descargar un plugin pirata.
Bastaba con instalar y activar una actualización contaminada procedente del canal oficial.
Este tipo de incidente se conoce como ataque a la cadena de suministro de software.
En lugar de atacar individualmente a cada página web, los delincuentes comprometen un componente o sistema utilizado por múltiples clientes.
El resultado puede ser especialmente peligroso porque los usuarios confían en el proveedor y consideran legítimas sus actualizaciones.
El problema no fue simplemente que un plugin tuviera un fallo de programación, sino que su mecanismo de distribución entregó archivos manipulados.
Qué versiones de Rank Math PRO están afectadas
Uno de los aspectos más importantes de este incidente es que el número de versión no permite determinar por sí solo si una instalación está comprometida.
La versión 3.0.123 fue publicada originalmente el 7 de octubre de 2026, más de una semana antes del ataque.
Por tanto, no todas las instalaciones de esa versión contienen necesariamente el malware.
El factor determinante es cuándo se descargó o instaló el paquete.
Ventana de distribución del malware
Inicio
15 oct. · 20:02 UTC
Final
16 oct. · 07:12 UTC
En España peninsular, el intervalo corresponde aproximadamente a las 22:02 del 15 de octubre y las 09:12 del 16 de octubre, en horario de verano.
Rank Math distingue tres situaciones:
| Situación del usuario | Riesgo y actuación |
|---|---|
| Instaló y activó la versión 3.0.123 durante la ventana afectada | Debe tratar la web como comprometida, aunque ya haya actualizado |
| Descargó o instaló los archivos, pero nunca activó el plugin | Debe eliminarlos, instalar la versión limpia y realizar un análisis |
| Descargó el archivo, pero no llegó a instalarlo | Esa descarga, por sí sola, no demuestra que la web haya sido comprometida |
| Tenía la versión 3.0.123 instalada antes del inicio del incidente | Queda fuera de la ventana identificada, salvo que recibiera posteriormente archivos manipulados |
Esta distinción evita dos errores frecuentes.
El primero sería considerar que todas las instalaciones de Rank Math PRO 3.0.123 están infectadas.
El segundo, mucho más peligroso, sería pensar que basta con actualizar a la versión 3.0.124 para solucionar una infección ya producida.
Una web que ejecutó el paquete malicioso puede seguir comprometida después de instalar la actualización limpia.
La versión gratuita de Rank Math no figura entre las afectadas
El aviso de seguridad se refiere exclusivamente a Rank Math PRO, la edición comercial del complemento.
La versión gratuita de Rank Math SEO se distribuye a través del repositorio oficial de WordPress.org.
Según los datos recogidos por The Hacker News, ese complemento gratuito supera los 4 millones de instalaciones activas.
Sin embargo, no aparece identificado como afectado en el aviso de seguridad de Rank Math.
Esto es importante porque el gran número de usuarios de la versión gratuita podría generar confusión sobre el alcance real del incidente.
No se ha confirmado que esos millones de sitios estén comprometidos.
Tampoco se conoce públicamente el número exacto de clientes de Rank Math PRO que recibieron o ejecutaron los archivos maliciosos.
Por tanto, no sería correcto afirmar que cuatro millones de páginas web han sido hackeadas por este ataque.
La cifra corresponde a las instalaciones activas de la edición gratuita, que utiliza un canal de distribución diferente.
El malware puede reconstruir una puerta trasera cuando alguien visita la web
La característica más inquietante del ataque es su mecanismo de persistencia.
Según Rank Math, el código malicioso puede volver a crear su puerta trasera oculta cuando se produce una visita al sitio web.
Una puerta trasera, también conocida como backdoor, es un mecanismo que permite acceder o ejecutar acciones en un sistema eludiendo los controles de seguridad habituales.
Los atacantes pueden utilizarla para mantener el acceso a un servidor comprometido.
En este caso, el malware no se limitaba necesariamente a un archivo dentro de la carpeta original de Rank Math.
Podía introducir modificaciones en otras ubicaciones del servidor.
Entre las posibles alteraciones identificadas figuran:
- Archivos PHP maliciosos en carpetas de otros plugins, temas o componentes especiales de WordPress.
- Cuentas de administrador fraudulentas creadas para facilitar accesos posteriores.
- Tareas programadas capaces de ejecutar instrucciones sin intervención del propietario.
- Claves SSH añadidas para permitir conexiones al servidor.
- Modificaciones del archivo
.htaccessdestinadas a ejecutar como PHP archivos con extensiones poco habituales. - Archivos que imitan componentes internos de WordPress para dificultar su identificación.
La persistencia cambia por completo el procedimiento de recuperación.
Eliminar un archivo sospechoso puede resultar inútil si otro componente sigue activo y lo vuelve a generar.
Por eso, los especialistas recomiendan neutralizar primero el mecanismo que mantiene la infección y revisar después el resto del servidor.
Wordfence califica la amenaza como crítica: 9,8 sobre 10
La compañía especializada en seguridad WordPress Wordfence publicó un aviso sobre el incidente el 17 de octubre de 2026.
En él identifica la vulnerabilidad como CVE-2026-111862 y le atribuye una puntuación de 9,8 sobre 10.
Se trata de una calificación muy elevada dentro de los sistemas habituales de evaluación de vulnerabilidades.
El riesgo está relacionado con la posibilidad de que un atacante obtenga acceso no autorizado a componentes críticos del sitio.
La firma Patchstack también clasifica el incidente como una puerta trasera.
Además, advierte de que no resulta posible ofrecer una regla convencional de mitigación para impedir la distribución inicial del paquete malicioso, dado que el ataque afectó a los sistemas del propio proveedor.
Esto supone una diferencia importante respecto a muchas vulnerabilidades tradicionales.
Cuando un plugin presenta un fallo explotable mediante una solicitud maliciosa, determinados sistemas de protección pueden bloquear el ataque.
Pero si el administrador instala voluntariamente una actualización contaminada que parece proceder del fabricante, las defensas convencionales pueden resultar insuficientes.
La confianza en el origen del software fue precisamente el elemento aprovechado por los atacantes.
Contraseñas, bases de datos y claves API podrían haber quedado expuestas
El impacto potencial no se limita a la integridad de los archivos de WordPress.
Si el código malicioso obtuvo acceso suficiente al entorno del servidor, también pudo alcanzar información sensible.
Entre los datos que deben considerarse potencialmente expuestos se encuentran:
- Contraseñas de administradores de WordPress.
- Credenciales de acceso a bases de datos.
- Claves de servicios externos y API.
- Credenciales de correo electrónico y servicios SMTP.
- Accesos FTP, SFTP y SSH.
- Información de configuración del alojamiento.
- Secretos almacenados en variables de entorno.
- Credenciales relacionadas con servicios de pago, cuando estuvieran accesibles.
Esto no significa que se haya demostrado la extracción de todos esos datos en cada instalación afectada.
La recomendación de seguridad consiste en asumir su posible exposición hasta completar la investigación y recuperación del sistema.
La diferencia es fundamental.
Una web comprometida puede haber sufrido modificaciones aunque su propietario no observe cambios visibles.
Además, el hecho de que la página siga funcionando con normalidad no demuestra que esté limpia.
En algunos ataques, mantener el funcionamiento habitual del sitio es precisamente lo que permite prolongar el acceso no autorizado.
Cómo limpiar una web WordPress afectada por Rank Math PRO
La recuperación debe realizarse con especial cuidado.
Rank Math recomienda como opción preferente restaurar una copia de seguridad anterior al comienzo del incidente, siempre que exista una copia fiable de los archivos y de la base de datos.
En este caso, el punto de referencia es el 15 de octubre de 2026, antes de las 20:02 UTC.
Una restauración desde una copia anterior a la infección puede facilitar la eliminación de los cambios introducidos dentro del sitio.
Sin embargo, no garantiza por sí sola que se hayan eliminado puertas traseras situadas fuera de la instalación restaurada.
Por ese motivo, también es necesario examinar el entorno del servidor y renovar las credenciales.
Primera opción: restaurar una copia de seguridad limpia
El procedimiento recomendado incluye recuperar los archivos y la base de datos desde una copia anterior al ataque.
Después debe realizarse un análisis de seguridad para detectar posibles elementos maliciosos.
También deben cambiarse las contraseñas, las claves de acceso y los secretos que el sistema comprometido pudiera haber utilizado.
Una vez completadas estas actuaciones, debe instalarse Rank Math PRO 3.0.124 desde la cuenta oficial del cliente.
La actualización limpia debe formar parte del proceso de recuperación, pero no sustituye a la limpieza del servidor.
Segunda opción: limpieza manual si no existe una copia segura
Cuando no se dispone de una copia de seguridad anterior al incidente, Rank Math establece un orden concreto de actuaciones.
Las tres primeras medidas son especialmente importantes:
- Eliminar completamente la carpeta
rank-math-promediante el administrador de archivos del alojamiento o una conexión FTP/SFTP. Desactivar el plugin desde WordPress no es suficiente. - Eliminar tres entradas maliciosas de la tabla de opciones de WordPress, identificadas por los nombres
_uf6qdn2hmm,t8krdk990phby_np5pvf754c. - Bloquear las conexiones salientes al dominio
rank1cdn[.]com, cuando el proveedor de alojamiento o el cortafuegos permitan hacerlo.
La eliminación de registros en la base de datos debe realizarse después de crear una copia de seguridad y, preferiblemente, con la intervención de un administrador experimentado.
Una modificación incorrecta puede afectar al funcionamiento del sitio.
Estas actuaciones iniciales buscan impedir que el mecanismo malicioso siga reconstruyendo sus componentes.
Solo después debe iniciarse una inspección más amplia.
Los archivos y cuentas que deben revisar los administradores
La investigación de Wordfence y el aviso de Rank Math identifican diferentes indicadores que pueden ayudar a localizar modificaciones sospechosas.
Uno de los primeros lugares que deben inspeccionarse es la carpeta wp-content/mu-plugins/.
Este directorio contiene los llamados must-use plugins, componentes que WordPress carga automáticamente.
También deben revisarse las carpetas de otros complementos y de los temas instalados.
Especial atención merecen los archivos PHP desconocidos o incorporados recientemente.
Otro indicador es la presencia del archivo:
wp-includes/class-wp-cache-util.php
Según el aviso de seguridad, este archivo no pertenece al núcleo oficial de WordPress y puede estar relacionado con el incidente.
También se recomienda revisar cuentas administrativas cuyos nombres comiencen por wpsupport_ o utilicen direcciones de correo con el dominio wp-mail[.]net.
En el servidor deben inspeccionarse las tareas programadas, las claves SSH autorizadas y las reglas que permitan ejecutar código PHP desde archivos .cache.
Los investigadores mencionan asimismo determinados patrones de código ofuscado, como combinaciones de base64_decode, operaciones XOR y funciones de ejecución de procesos.
La presencia de estos indicadores requiere investigación, pero su ausencia no demuestra que la página esté completamente limpia.
Los atacantes pueden modificar nombres, rutas y mecanismos de persistencia.
Por ello, Wordfence recomienda no limitar la revisión a una lista cerrada de archivos.
Cambiar todas las contraseñas es obligatorio después de la limpieza
Una vez neutralizado el malware, es necesario renovar las credenciales.
Esta medida debe aplicarse incluso cuando se haya restaurado una copia de seguridad anterior al ataque.
El motivo es que los secretos almacenados en el servidor pudieron haber sido consultados antes de la recuperación.
Entre las actuaciones recomendadas destacan el cambio de contraseñas de WordPress, la renovación de las credenciales de la base de datos y la regeneración de las claves de seguridad y salts del archivo wp-config.php.
También deben revisarse los accesos al panel del alojamiento, FTP, SFTP y SSH.
Si la web utiliza pasarelas de pago, herramientas de correo electrónico, servicios de análisis o integraciones externas, será necesario evaluar la rotación de sus claves API.
La autenticación en dos factores constituye una medida adicional de protección para las cuentas administrativas.
Cambiar únicamente la contraseña de acceso a WordPress no es suficiente cuando existe la posibilidad de que el atacante haya alcanzado otros recursos del servidor.
Cómo comprobar la integridad de WordPress después del ataque
Los administradores con acceso a WP-CLI pueden utilizar herramientas de verificación de integridad.
Para comprobar los archivos del núcleo de WordPress, el comando habitual es:
wp core verify-checksumsPara verificar los archivos de los complementos compatibles:
wp plugin verify-checksums --allEstos comandos comparan los archivos instalados con las referencias disponibles.
Sin embargo, presentan limitaciones.
WordPress.org no publica necesariamente sumas de verificación para plugins comerciales distribuidos fuera de su repositorio.
En el caso de Rank Math PRO, The Hacker News comprobó el 19 de octubre que el servicio público de verificación no disponía de referencias para la versión premium.
Por tanto, la ausencia de resultados para ese complemento no significa que los archivos sean legítimos.
La comprobación debe complementarse con una copia limpia obtenida directamente del proveedor y con una inspección de seguridad.
Rank Math publica la versión 3.0.124, pero quedan preguntas sin responder
La compañía ha retirado los archivos afectados y ha distribuido una nueva versión limpia.
Sin embargo, el incidente deja varias incógnitas importantes.
Según la información publicada por The Hacker News, Rank Math no había aclarado públicamente:
- Cómo consiguieron los atacantes introducir archivos maliciosos en su sistema de descargas y actualizaciones.
- Cuántos clientes recibieron el paquete comprometido.
- Si las actualizaciones automáticas distribuyeron también los archivos infectados.
- Qué diferencias exactas existían entre los paquetes limpios y los manipulados.
- Quiénes fueron los responsables del ataque.
La empresa ha indicado que está adoptando medidas para reducir el riesgo de incidentes similares.
Sin embargo, no se ha identificado públicamente al grupo o individuo responsable.
Tampoco se dispone de una cifra confirmada de páginas web efectivamente comprometidas.
Esta falta de información impide cuantificar el impacto total.
El dominio utilizado en el ataque se registró un día antes
Otro detalle relevante de la investigación es la antigüedad del dominio relacionado con la infraestructura maliciosa.
Según los registros consultados por The Hacker News, rank1cdn[.]com fue registrado el 14 de octubre de 2026 a las 19:31 UTC.
Esto ocurrió aproximadamente un día antes del comienzo de la ventana de distribución de los archivos comprometidos.
La proximidad temporal resulta significativa para reconstruir la cronología del incidente.
Sin embargo, el registro del dominio no permite identificar por sí solo a los responsables.
Los investigadores tampoco han publicado pruebas suficientes para atribuir la operación a un grupo concreto.
La recomendación oficial de bloquear ese dominio forma parte de las medidas de contención destinadas a evitar comunicaciones con la infraestructura señalada.
Rank Math no es el primer plugin premium de WordPress comprometido en 2026
El incidente se suma a otros ataques contra la cadena de suministro de complementos comerciales de WordPress.
Según The Hacker News, durante 2026 se han registrado varios casos en los que los canales oficiales de actualización fueron utilizados para distribuir archivos manipulados.
En abril, el sistema de actualizaciones de Smart Slider 3 Pro, de Nextend, distribuyó una versión comprometida durante aproximadamente seis horas.
En junio, diferentes plugins premium de ShapedPlugin también se vieron afectados por modificaciones maliciosas en su canal de distribución.
Ese mismo mes se detectaron alteraciones en scripts suministrados desde la infraestructura CDN de Awesome Motive.
En agosto se informó de otro incidente relacionado con un canal de información utilizado por BdThemes.
Estos casos comparten una característica: los atacantes aprovecharon componentes o servicios de distribución en los que los administradores confiaban.
No obstante, no se han publicado pruebas que relacionen a los responsables de esos incidentes con el ataque a Rank Math PRO.
No puede afirmarse, por tanto, que exista una única campaña coordinada detrás de todos ellos.
El riesgo para empresas, tiendas online y periódicos digitales
El incidente tiene especial importancia para organizaciones que utilizan WordPress como plataforma principal.
Entre ellas se encuentran pequeñas empresas, tiendas online, agencias de marketing, blogs profesionales y medios de comunicación digitales.
En estos entornos, los complementos SEO forman parte de la infraestructura habitual.
Una infección de estas características puede afectar a diferentes áreas del negocio.
En primer lugar, compromete la seguridad del servidor y de los accesos administrativos.
También puede poner en riesgo la integridad del contenido publicado.
En determinadas circunstancias, una puerta trasera podría permitir modificaciones no autorizadas, inserción de código o acceso a información sensible.
Además, la recuperación puede exigir tareas técnicas, interrupciones del servicio y revisiones de credenciales.
Para un periódico digital, la seguridad del sistema de publicación es especialmente importante porque afecta tanto a la continuidad operativa como a la confianza de sus lectores.
El caso de Rank Math demuestra que mantener los plugins actualizados es necesario, pero no garantiza por sí solo la protección frente a ataques que comprometen los canales oficiales de distribución.
La seguridad también depende de disponer de copias de respaldo verificadas, supervisión de archivos, permisos restringidos y procedimientos de recuperación.
Qué hacer si utilizas Rank Math PRO en tu web
Lista de comprobación para administradores
Estas acciones ayudan a organizar la revisión. Si instalaste y activaste la copia afectada, trata el sitio como comprometido hasta completar la recuperación.
0 de 7 comprobaciones marcadasReiniciarComprobar si Rank Math PRO se instaló o actualizó durante la ventana afectada.Guardar una copia de los registros y evidencias antes de limpiar.Restaurar una copia limpia o aplicar el procedimiento oficial de eliminación.Revisar archivos, cuentas administrativas, tareas programadas y accesos SSH.Renovar contraseñas, claves API y credenciales del servidor.Ejecutar análisis de seguridad y verificar la integridad de WordPress.Instalar Rank Math PRO 3.0.124 desde la cuenta oficial.
Los propietarios de páginas web que no tengan conocimientos técnicos suficientes deberían recurrir a su proveedor de alojamiento o a un especialista en seguridad WordPress.
La limpieza manual puede resultar compleja cuando el atacante ha modificado componentes situados fuera de la carpeta del plugin.
También conviene evitar descargar supuestas herramientas de reparación desde enlaces recibidos por correo electrónico.
Rank Math ha indicado que los clientes deben acceder directamente a su página oficial para obtener la versión limpia.
Un ataque que cuestiona la seguridad de las actualizaciones oficiales
La brecha de Rank Math PRO constituye un ejemplo especialmente preocupante de los riesgos asociados a la cadena de suministro de software.
El ataque permitió distribuir código malicioso a través de un canal utilizado habitualmente para recibir actualizaciones legítimas.
La amenaza no terminaba al sustituir el plugin, ya que el malware podía dejar puertas traseras, cuentas fraudulentas y mecanismos de persistencia en otras ubicaciones del servidor.
La versión limpia 3.0.124 soluciona el problema de distribución identificado, pero no elimina automáticamente una infección que ya se haya ejecutado.
Por ello, las páginas que instalaron y activaron el paquete comprometido durante la ventana afectada necesitan un proceso completo de recuperación.
El caso también deja una advertencia para el conjunto del ecosistema WordPress.
La seguridad de una página web no depende únicamente de actualizar sus complementos, sino también de la integridad de los sistemas desde los que se distribuyen y de la capacidad para detectar y recuperar una instalación comprometida.
Hasta que Rank Math publique más detalles sobre el origen del ataque y su alcance, la prioridad para los administradores afectados debe ser comprobar sus instalaciones, proteger sus credenciales y verificar que no quedan mecanismos de acceso malicioso.