El Rank Math PRO malware dejó una puerta trasera en WordPress en los sitios que actualizaron el complemento de pago entre la tarde del 15 de octubre y la madrugada del 16. La copia dañada llegó por el canal oficial de descarga, con el número de versión de siempre, y por eso el número solo no dice si un sitio quedó expuesto.
Rank Math publicó su aviso de seguridad el 16 de octubre y acotó el problema: paquetes de la versión 3.0.123 servidos entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16, unas once horas. En hora del este de Estados Unidos, la ventana corrió de 4:02 PM a 3:12 AM. Quien instaló esa versión antes de esa franja recibió la copia limpia, porque la 3.0.123 original salió el 7 de octubre y circuló sin problemas durante más de una semana.
La versión gratuita de Rank Math SEO, la que se instala desde WordPress.org, quedó fuera del incidente. El daño apunta a otro sitio: el complemento PRO se compra y se actualiza desde los servidores de la propia empresa, fuera del repositorio oficial, y ese canal privado fue el que sirvió los archivos alterados.
Una ventana de once horas y un dominio que delata
Wordfence registró el caso como CVE-2026-111862, con puntuación crítica de 9,8 sobre 10, y Patchstack lo clasificó como puerta trasera. No hubo una falla de código que un atacante tuviera que buscar y explotar sitio por sitio. El código dañino venía dentro del paquete, listo para ejecutarse en cuanto el complemento quedaba activo.
El aviso de Rank Math describe lo que ese código podía dejar atrás: acceso persistente, comunicación saliente con el dominio rank1cdn.com, archivos PHP ocultos que reaparecen cuando alguien visita el sitio, cuentas de administrador creadas sin permiso y una tarea programada del servidor con la marca #ms6v46. También pudo leer los secretos que el servidor alcanza: contraseñas de WordPress, credenciales de la base de datos y claves de interfaces de programación de otros servicios guardadas en los ajustes.
Ese detalle cambia la lectura del incidente para cualquier negocio que vende en línea. Una tienda con pasarela de pago conectada no arriesga solo sus páginas. Arriesga las claves que conectan la tienda con el procesador de pagos y con su correo transaccional, y esas claves no viven dentro de la carpeta del complemento.
Actualizar a la 3.0.124 no limpia un sitio tocado
Rank Math retiró los archivos afectados y publicó la versión 3.0.124 como reemplazo limpio. Instalarla cambia la carpeta del complemento y nada más. Los archivos plantados en otras carpetas, las cuentas falsas y las tareas programadas quedan donde el código dañino los dejó, intactos. Ahí se entiende el tamaño del Rank Math PRO malware: una puerta trasera en WordPress que sobrevive a la actualización que debía cerrarla.
La ruta que la empresa recomienda para quien activó la copia dañada empieza por restaurar el sitio completo, archivos y base de datos, desde una copia de seguridad anterior al 15 de octubre a las 20:02 UTC. Una copia tomada dentro de la ventana puede traer el problema adentro, así que la fecha de esa copia manda más que su tamaño o su nombre.
Sin copia limpia disponible, la limpieza manual tiene un orden estricto y ese orden no es capricho. Primero se borra la carpeta rank-math-pro, porque desactivar el complemento no basta. Después se eliminan de la tabla wp_options las entradas con los nombres uf6qdn2hmm, t8krdk990phb y _np5pvf754c, y se bloquean las conexiones salientes hacia rank1cdn.com cuando el alojamiento o el cortafuegos lo permite. Recién con ese mecanismo apagado tiene sentido cazar los archivos restantes, porque el código recrea su puerta trasera en cada visita y borrar en otro orden puede devolver lo borrado a su sitio en minutos.
Señales concretas para revisar esta misma tarde
Las cuentas de administrador desconocidas con nombres que empiezan por wpsupport o con correos terminados en @wp-mail.net son la señal más visible. Otra pista clara es el archivo wp-includes/class-wp-cache-util.php: Rank Math aclara que ese archivo no forma parte del núcleo legítimo de WordPress. Los archivos con extensión .cache que contienen código PHP y las reglas de .htaccess que permiten ejecutar esos archivos completan la revisión.
Cambiar las credenciales cierra el trabajo, también para quien restauró una copia limpia. Contraseñas de WordPress, datos de la base de datos, llaves de seguridad del archivo wp-config.php, claves de pago y de correo, accesos al panel de alojamiento y conexiones FTP, SFTP o SSH entran en la rotación. Wordfence añade una advertencia en su aviso: no encontrar ninguna de las señales conocidas no prueba que un sitio esté limpio.
Rank Math afirma que guarda registro de las cuentas que descargaron una copia afectada y que escribió a esos usuarios. El aviso repite una instrucción clara: la empresa nunca enviará enlaces de acceso ni de descarga por correo, así que la 3.0.124 se baja entrando directo a rankmath.com y accediendo a la cuenta propia. Cualquier mensaje con un botón de descarga que aproveche el susto de esta semana merece desconfianza.
El costo real del incidente se medirá en horas de limpieza y en credenciales rotadas, no en titulares. Para los sitios que actualizaron en piloto automático durante esas once horas, la factura llegó por hacer exactamente lo que todos los manuales de seguridad mandan: actualizar rápido.
Fuente: Rank Math
Foto: MagicWP
