Rank Math ha confirmado que algunas copias de su plugin Rank Math SEO PRO en la versión 3.0.123 contenían malware: una puerta trasera capaz de tomar el control de la web si el plugin llegaba a activarse. El problema afecta a quienes descargaron o actualizaron a esa versión entre el 15/10/2026 a las 22:02 y el 16/10/2026 a las 09:12 (hora peninsular española). La empresa retiró los archivos y publicó la versión 3.0.124 como sustituta limpia. El fallo está registrado como CVE-2026-111862, con una puntuación CVSS de 9,8 sobre 10.
Las claves del malware en Rank Math SEO PRO 3.0.123 en 30 segundos
El origen está en la cadena de suministro. Nadie tenía que explotar una vulnerabilidad en la web: el código malicioso venía dentro del propio paquete oficial, descargado desde la cuenta del cliente o instalado mediante una actualización. Patchstack lo clasifica como puerta trasera (backdoor) sin necesidad de autenticación y Wordfence lo describe como un compromiso de la cadena de suministro que afecta a un subconjunto de los paquetes de la versión 3.0.123. Rank Math afirma que afecta a un número limitado de usuarios, pero no ha publicado cifras ni ha explicado cómo llegó el malware a sus archivos.
El aviso de Rank Math y las fichas de Patchstack y Wordfence se refieren solo a la edición PRO, que se descarga desde la cuenta de rankmath.com. Ninguna de esas fuentes menciona al plugin gratuito del directorio de WordPress.org.
Según el aviso de Rank Math y el análisis de Wordfence, el malware solo actuaba si el plugin estaba activo. A partir de ahí podía establecer un acceso persistente, comunicarse con el dominio rank1cdn.com y volver a crear puertas traseras PHP ocultas cada vez que alguien visitaba la web. También podía exponer las credenciales de WordPress y de la base de datos, claves de API y cualquier otro secreto legible por el servidor web, crear cuentas de administrador no autorizadas y programar tareas en el sistema.
Estos son los indicadores de compromiso que publican ambas empresas:
Lo primero es comprobar la versión instalada en Plugins y cuándo se descargó o actualizó. Rank Math distingue tres casos. Si se instaló y activó la 3.0.123 durante el periodo afectado, la web debe considerarse comprometida. Si se instaló pero nunca se activó, basta con borrar los archivos, instalar la 3.0.124 desde la cuenta de Rank Math y pasar un análisis de seguridad. Si solo se descargó el archivo sin instalarlo, no hay indicios de compromiso por este incidente. Tener la 3.0.123 no prueba por sí solo que la web esté infectada, porque no todas las copias de esa versión llevaban malware.
Para las webs comprometidas, la opción recomendada es restaurar web y base de datos desde una copia de seguridad anterior al 15/10/2026 a las 22:02 (hora peninsular). Si no existe, hay que limpiar a mano y en este orden, porque el malware se reconstruye solo:
Después ya se puede instalar la 3.0.124. Rank Math pide entrar en rankmath.com escribiendo la dirección directamente y advierte de que nunca envía enlaces de acceso o de descarga por correo, así que cualquier email con ese tipo de enlaces debe tratarse como sospechoso. Para la limpieza, la hoja de AyudaWP con 77 pasos para limpiar un WordPress infectado es un buen complemento.
No es el primer caso de este tipo. En junio contamos cómo un ataque a la CDN de Awesome Motive expuso sitios WordPress a puertas traseras. Los plugins premium se distribuyen fuera de WordPress.org y no siempre se pueden comparar con sumas de verificación públicas, como recuerda la propia Rank Math. Por eso herramientas como WP Beacon, que vigila la cadena de suministro de plugins, y las copias de seguridad recientes ganan peso frente a este tipo de incidentes.
El caso llega además en una semana complicada para la seguridad de WordPress, tras la explotación activa de un fallo crítico en Bricksforge y la campaña XSS que esconde administradores a través de Ninja Forms. Rank Math asegura que está tomando medidas para reducir el riesgo de incidentes similares, sin detallar cuáles.
Solo la 3.0.123, y únicamente las copias descargadas o actualizadas entre el 15/10/2026 a las 20:02 UTC y el 16/10/2026 a las 07:12 UTC. La versión limpia es la 3.0.124.
No, si la copia afectada llegó a activarse. El malware pudo dejar archivos, administradores y tareas programadas en otras partes del servidor, así que hay que restaurar una copia limpia o limpiar a mano y cambiar todas las credenciales.
El aviso de Rank Math y las fichas de Patchstack y Wordfence se refieren solo a Rank Math SEO PRO 3.0.123 y no mencionan la versión gratuita de WordPress.org.
Busca conexiones a rank1cdn.com, las entradas _uf6qdn2hmm, t8krdk990phb o _np5pvf754c en wp_options, administradores que empiecen por wpsupport_ y el archivo wp-includes/class-wp-cache-util.php.
Fuentes:
