Si usas Rank Math PRO, el plugin de pago para SEO en WordPress, revisa hoy mismo qué versión instalaste y cuándo. Durante unas horas del 15 y 16 de octubre de 2026, la descarga oficial de la versión 3.0.123 llevaba malware escondido.
La empresa ya publicó una versión limpia, pero advierte algo importante: actualizar o desactivar el plugin no quita la infección. Aquí te explicamos qué pasó y qué hacer, paso a paso.
¿Qué pasó?
Según el aviso oficial de Rank Math, alguien alteró los archivos de Rank Math PRO 3.0.123 que se descargaban desde su propio sitio. El periodo afectado va del 15 de octubre a las 20:02 UTC al 16 de octubre a las 07:12 UTC, es decir, unas 11 horas. En hora del centro de México, eso es del 15 de octubre a las 2:02 de la tarde al 16 a la 1:12 de la madrugada.
El malware se activaba al activar el plugin. De acuerdo con BleepingComputer y SecurityWeek, que leyeron el aviso y los indicadores publicados, la puerta trasera se comunica con el dominio rank1cdn[.]com, crea un archivo falso llamado class-wp-cache-util.php dentro de la carpeta wp-includes, y puede crear cuentas de administrador con nombres que empiezan con wpsupport_ y correos terminados en @wp-mail[.]net.
Lo más delicado es que se reconstruye sola: cada vez que alguien visita el sitio infectado, el malware vuelve a crear sus archivos ocultos. Por eso borrar un archivo o desactivar el plugin no sirve. Rank Math dice que solo un número limitado de usuarios se vio afectado, pero no dio cifras a BleepingComputer antes de su publicación.
La versión gratuita de Rank Math SEO, la que se instala desde WordPress.org, no está afectada. La versión corregida es Rank Math PRO 3.0.124.
¿Por qué te importa?
Un plugin con puerta trasera le da al atacante lo mismo que tiene tu servidor web: las credenciales de la base de datos, las llaves de API, los datos de pago y hasta llaves SSH si están al alcance. BleepingComputer encontró además una muestra relacionada que roba credenciales de AWS, Cloudflare, Google Cloud y Azure.
Este es un ataque a la cadena de suministro, es decir, no entraron a tu sitio: envenenaron la fuente de donde descargas el software. Es el tercer caso de este tipo en plugins de pago de WordPress este año, y te recuerda que un plugin confiable también puede fallar.
Si administras sitios de clientes, revisa todos los que tengan Rank Math PRO. Un sitio comprometido en un hosting compartido puede poner en riesgo a los demás sitios de la misma cuenta.
¿Qué puedes hacer?
- Revisa en Plugins qué versión tienes y cuándo la instalaste. Si activaste la 3.0.123 entre el 15 de octubre a las 20:02 UTC y el 16 a las 07:12 UTC, trata tu sitio como comprometido. Si solo descargaste el archivo y nunca lo instalaste, bórralo, instala la 3.0.124 y corre un escaneo con Wordfence o Sucuri por tranquilidad.
- Si tienes un respaldo de antes del 15 de octubre a las 20:02 UTC, restaura archivos y base de datos desde ahí. Es la opción que recomienda Rank Math.
- Si no hay respaldo, sigue el orden del aviso oficial: borra la carpeta completa rank-math-pro, elimina las tres entradas raras de la tabla wp_options que lista Rank Math, bloquea las conexiones salientes a rank1cdn[.]com y solo entonces busca archivos PHP extraños, reglas nuevas en .htaccess, tareas programadas y cuentas de administrador que no creaste.
- Cambia todas las contraseñas y llaves aunque hayas restaurado un respaldo: usuarios de WordPress, base de datos, llaves y sales de wp-config.php, llaves de API, SMTP, FTP y panel del hosting. Activa la verificación en dos pasos en las cuentas de administrador.
- Descarga Rank Math PRO 3.0.124 entrando directo a rankmath.com con tu cuenta. La empresa aclara que nunca manda enlaces de descarga ni de cambio de contraseña por correo; desconfía de cualquier mensaje así.
Sigue leyendo
- Cómo dar actualizaciones automáticas a tus plugins de WordPress
- Guía para desarrollar en WordPress en 2026: por dónde empezar
Fuentes
- Rank Math (aviso oficial): Rank Math PRO 3.0.123 Security Incident
- BleepingComputer: WordPress SEO plugin Rank Math compromised to backdoor websites
- SecurityWeek: Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack
Imagen de portada: foto de panumas nikhomkhai en Pexels.