Rank Math SEO PRO 3.0.123 llegó con malware: si tu WordPress se actualizó el 15 de octubre, revísalo

Algunas copias de Rank Math SEO PRO 3.0.123, uno de los plugins de SEO más usados en WordPress, salieron de los servidores del fabricante con una puerta trasera. El problema se registró como CVE-2026-111862 con una calificación de 9.8 de 10, y Wordfence lo dio a conocer el 17 de octubre de 2026 en su aviso "PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads". El portal Daily CyberSecurity lo reporta como explotado activamente: no hace falta que alguien ataque tu sitio, porque el malware llegó dentro de la actualización.

Es el mismo patrón que vimos a principios de mes con los scripts de Brevo que sirvieron malware a 100,000 sitios de WordPress: el dueño no hizo nada mal; la actualización era la trampa.

A quién le toca

El riesgo se concentra en unas 11 horas:

Según el fabricante, citado por Mallory y Bugshield, tener la 3.0.123 no prueba por sí solo que te hayan infectado: depende de si tu sitio recibió un paquete alterado y lo activó. Si se activó en la ventana, el sitio se considera comprometido; si se instaló pero nunca se activó, basta con borrar la carpeta, instalar la 3.0.124 y escanear. Rank Math dice tener más de 4 millones de usuarios entre la versión gratuita y la de pago, pero no ha publicado cuántos sitios PRO recibieron el paquete malo ni cómo entraron los atacantes a su distribución.

Qué hace el código malicioso

De acuerdo con Daily CyberSecurity, que resume el aviso de Wordfence, el malware:

• Se comunica con un servidor de control en rank1cdn.com.
• Recrea puertas traseras en PHP con cada visita al sitio, aunque las borres.
• Da de alta administradores no autorizados, planta un archivo falso del núcleo de WordPress y registra una tarea programada en el servidor.
• Roba credenciales: contraseñas de WordPress, de la base de datos, llaves de API y otros secretos que el servidor web pueda leer.

Ese último punto es el que más debe preocupar a una PyME: las llaves de la pasarela de pago, del correo o del CRM guardadas en el sitio hay que darlas por expuestas aunque todo "se vea normal".

Qué hacer hoy si usas Rank Math SEO PRO

1. Confirma versión y fecha. En Plugins revisa qué versión tienes. Si ves 3.0.123, busca en el registro de actualizaciones del sitio o del panel del hosting a qué hora se instaló. Si cayó entre las 14:02 del 15 de octubre y la 01:12 del 16 (hora del centro), o no puedes saberlo, trata el sitio como comprometido.
2. Busca las señales que publicó el fabricante (recopiladas por Bugshield):
   • Usuarios administradores que empiezan con wpsupport_ o con correo @wp-mail.net.
   • El archivo wp-includes/class-wp-cache-util.php, que no es parte real de WordPress.
   • Archivos PHP inesperados en wp-content/mu-plugins/, en uploads o en carpetas de otros plugins y temas.
   • Reglas en .htaccess que ejecutan archivos .cache como PHP.
   • Tareas programadas del usuario del servidor web con la marca #ms6v46.
   • Conexiones de salida hacia rank1cdn.com.
3. Restaura si puedes archivos y base de datos de un respaldo hecho antes del 15 de octubre a las 14:02; los posteriores pueden traer el malware. Aquí se nota tener una política de respaldos con varias copias en el tiempo y no solo "la de anoche".
4. Si no hay respaldo limpio, limpia en este orden para que la puerta trasera no se regenere: borra completa la carpeta rank-math-pro (no basta con desactivarla); en la tabla wp_options elimina las filas _uf6qdn2hmm, t8krdk990phb y _np5pvf754c; bloquea rank1cdn.com en el firewall o el hosting, y después reinstala WordPress, plugins y temas desde fuentes confiables.
5. Cambia todas las credenciales que el sitio podía leer: contraseñas de administradores, las llaves y salts de wp-config.php, el usuario de la base de datos, los accesos de hosting, FTP, SFTP y SSH, y las llaves de pago, correo y API guardadas en plugins. Si tu tienda cobra en línea, avisa a tu pasarela que rotarás llaves.
6. Instala 3.0.124 solo desde rankmath.com. El fabricante no manda enlaces de descarga por correo; desconfía de cualquier mensaje así.
7. Vigila unas semanas la lista de administradores y las tareas programadas: el malware está hecho para reaparecer.

Las actualizaciones automáticas no son el enemigo

No las apagues: hace un mes una falla crítica de WordPress 7.1 ya se explotaba dos días después del parche, y en septiembre hubo cien mil intentos contra un plugin de WooCommerce con parche desde febrero. Lo que sí conviene, como en el caso de la credencial robada del respaldo de ConnectWise, es limitar el daño cuando un proveedor falla: menos plugins (cada uno tiene acceso total al servidor), llaves con el mínimo permiso, respaldos fuera del servidor y con historial, y monitoreo de integridad que avise de archivos PHP o administradores nuevos.

Si tu sitio o tu tienda en línea usan Rank Math SEO PRO y no tienes claro cuándo se actualizó, podemos revisarlo contigo dentro de nuestros servicios de ciberseguridad y de e-commerce.

Fuentes: Wordfence (aviso del 17 de octubre de 2026, vía Vulners y Malware News), Daily CyberSecurity (17 de octubre), Mallory y Bugshield. Al cierre de esta nota, 19 de octubre, el fabricante no había publicado cuántos sitios recibieron el paquete alterado ni cómo se comprometió su distribución.