.png)
Rank Math PRO 3.0.123 se distribuyó con una puerta trasera durante 11 horas
Rank Math avisó de que algunas copias de la versión PRO 3.0.123, descargadas entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16, contenían malware capaz de comprometer el sitio si el plugin se activaba. Patchstack lo clasifica como ataque a la cadena de suministro contra la infraestructura del fabricante, y el incidente tiene el identificador CVE-2026-111862 con puntuación 9,8. La edición gratuita del repositorio de WordPress.org no está afectada. Rank Math no ha dicho cuántos sitios recibieron el paquete ni cómo llegaron los ficheros maliciosos.
Análisis técnico
Según Wordfence, el código malicioso puede establecer acceso persistente, comunicarse con rank1cdn[.]com, recrear puertas traseras ocultas cuando alguien visita una página y exponer credenciales de WordPress y de la base de datos, claves de API y otros secretos accesibles al servidor web. Que se recree solo cambia el orden de la limpieza. Rank Math insiste en que primero hay que detener el mecanismo de reconstrucción y después buscar el resto. Borrar ficheros sospechosos antes puede no servir de nada.
Sus indicadores describen un conjunto de persistencias distintas:
Tres entradas en wp_options.
Un fichero que no pertenece al núcleo, wp-includes/class-wp-cache-util.php.
Cuentas de administrador con nombre wpsupport_ más caracteres aleatorios, o con correos @wp-mail[.]net.
Reglas en .htaccess que ejecutan ficheros .cache como PHP.
Tareas programadas marcadas con #ms6v46.
Código con base64_decode y bucles XOR, proc_open o sockets de PHP-FPM.
Al venir del propio canal del fabricante, Patchstack indica que no es posible una regla de WAF que lo mitigue.
Alcance e impacto verificado
Confirmado por Rank Math: el problema afecta a “un número limitado de usuarios” de la versión PRO. Quien instaló y activó la 3.0.123 en la ventana debe tratar el sitio como comprometido. Quien la instaló sin activarla debe borrar los ficheros, instalar la 3.0.124 y pasar un escáner. Quien la descargó sin instalarla no tiene indicios de compromiso por este incidente.
Matiz que importa: Wordfence habla de un subconjunto de paquetes 3.0.123. Tener esa versión no prueba por sí solo que el sitio esté comprometido. Lo determinante es el momento de descarga o actualización.
Lo que no se sabe: cuántos sitios recibieron el paquete y cómo se introdujeron los ficheros maliciosos. Rank Math afirma tener registro de quién descargó una copia afectada, y su aviso menciona un correo a los afectados.
Cifra de usuarios: la web de Rank Math presume de más de 4 millones de usuarios, pero esa cifra no distingue la edición gratuita, que no está afectada. El número de instalaciones PRO no consta.
Cronología (UTC)
15/10, 20:02: comienza la ventana de distribución.
16/10, 07:12: termina la ventana, tras unas 11 horas.
16/10, 20:32: Rank Math publica su aviso de seguridad. Ya ha retirado los ficheros y publicado la versión limpia 3.0.124.
17/10: Patchstack publica su ficha.
19/10: se publica el registro CVE, cuyo asignador es Wordfence.
Mitigación y recomendaciones
Rank Math recomienda restaurar archivos y base de datos desde una copia anterior al 15 de octubre a las 20:02 UTC (22:02 CEST), escanear con una herramienta fiable, cambiar todas las credenciales y solo entonces instalar la 3.0.124. Si no hay copia, la limpieza manual, en este orden:
Borrar la carpeta completa rank-math-pro, porque desactivar el plugin no basta.
Eliminar de wp_options las entradas uf6qdn2hmm, t8krdk990phb y np5pvf754c.
Bloquear las conexiones salientes a rank1cdn.com si el hosting o el firewall lo permiten.
Buscar ficheros y cuentas del apartado técnico, revisar uploads/ en busca de PHP y comprobar el entorno del servidor: claves SSH, crontabs de otros usuarios y procesos.
Rotar contraseñas, credenciales de base de datos, claves y sales de wp-config.php, claves de API, SMTP, pasarelas de pago y accesos al hosting, aunque se restaure desde copia.
Verificar con wp core verify-checksums y wp plugin verify-checksums --all. En plugins premium puede no haber sumas, así que conviene comparar con una copia limpia.
Rank Math descarga la versión limpia solo desde su propia web iniciando sesión. Afirma que nunca envía enlaces de descarga ni de restablecimiento por correo, así que cualquier correo con ese pedido debe tratarse como sospechoso.
Indicadores de compromiso
Dominio C2: rank1cdn[.]com
wp_options: _uf6qdn2hmm | t8krdk990phb | _np5pvf754c
Fichero falso: wp-includes/class-wp-cache-util.php
Usuarios: wpsupport_<aleatorio> | *@wp-mail[.]net
Cron: entradas con etiqueta #ms6v46
Código: base64_decode + XOR, clave xmmqhn, proc_open, socket PHP-FPM
.htaccess: reglas que ejecutan *.cache como PHPContexto: otra intrusión en WordPress el mismo fin de semana
El incidente no está relacionado con UpdraftPlus, y no hay evidencia de que lo esté. Pero el administrador de IT-Connect documenta una intrusión por UpdraftCentral el 19 de octubre. TeamUpdraft, según el soporte y un comunicado que él cita, sufrió un acceso no autorizado a su web durante el fin de semana del 17-18 y cree que se consultó la base de datos de clientes, que incluye las claves de conexión de UpdraftCentral. Esas claves pueden enviar comandos a los sitios conectados y el fabricante no puede revocarlas a distancia, así que hay que eliminarlas manualmente en cada sitio.
Comentarios