Rank Math PRO distribuyó durante once horas una versión con puerta trasera

Qué ha pasado

El 16 de octubre, Rank Math publicó un aviso de seguridad: las copias de su plugin de pago Rank Math SEO PRO 3.0.123 descargadas o actualizadas desde rankmath.com entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 llevaban malware. Son unas once horas. La empresa retiró esos ficheros, publicó la versión limpia 3.0.124 y escribió a los clientes afectados.

Wordfence lo ha registrado como CVE-2026-111862, con una gravedad de 9,8 sobre 10. Según el aviso del fabricante, el código malicioso instala una puerta trasera oculta que se vuelve a crear cuando alguien visita la web, puede añadir administradores, ficheros falsos del núcleo de WordPress, reglas en .htaccess y tareas programadas, y puede dejar al descubierto contraseñas, credenciales de la base de datos y claves de API. Entre las señales publicadas están usuarios administradores que empiezan por wpsupport_, un fichero falso en wp-includes llamado class-wp-cache-util.php y conexiones salientes al dominio rank1cdn.

El plugin gratuito de WordPress.org, con más de cuatro millones de instalaciones, no está afectado. Rank Math no ha dicho cuántas webs recibieron la versión maliciosa ni cómo entraron en su sistema; habla de un número limitado de usuarios.

Por qué le importa a tu empresa

Aquí no hay un fallo que se arregle actualizando. El plugin vino envenenado desde la fuente oficial, así que hacer lo correcto, que es mantener todo al día, fue precisamente la vía de entrada para quien actualizó esa noche. Y una vez dentro, la actualización a la 3.0.124 no borra lo que el malware ya haya dejado: cuentas, ficheros o tareas programadas.

Si en tu web hay datos de clientes, formularios o una tienda, una puerta trasera así es un incidente de seguridad con posibles consecuencias en protección de datos.

Mi opinión

No es motivo para dejar de actualizar; sería peor el remedio que la enfermedad. Pero sí para dejar de pensar que actualizar es el final del trabajo. Lo que de verdad salva a una web en un caso así son tres cosas aburridas: saber qué plugins tienes y de quién, tener copias de seguridad fechadas y restaurables, y poder detectar si aparece un administrador que nadie ha creado.

También me parece sensato que las webs importantes no actualicen plugins de pago de forma automática en el minuto uno, sino con un pequeño margen y vigilancia. En XEVIA es justo lo que revisamos cuando auditamos un WordPress: no solo si está al día, sino si podrías recuperarte si algo llega roto.

Qué hacer hoy

• Comprueba si usas Rank Math PRO y si la versión 3.0.123 se instaló o actualizó entre el 15 de octubre a las 20:02 UTC y el 16 a las 07:12 UTC.
• Si se activó en ese intervalo, trata la web como comprometida: restaura web y base de datos desde una copia anterior al 15 de octubre a las 20:02 UTC y después instala la 3.0.124.
• Si se instaló pero no se activó, borra esos ficheros, instala la 3.0.124 descargada desde tu cuenta en rankmath.com y pasa un análisis de seguridad.
• Revisa la lista de administradores y las tareas programadas en busca de entradas que no reconozcas.
• Cambia contraseñas, credenciales de base de datos, claves de wp-config.php, claves de API y accesos FTP o SSH si hubo activación.