[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862":3,"prev-/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862":471,"next-/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862":449,"related-/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862":474,"author-Diego Herrera":493},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":426,"cta":427,"date":432,"dateModified":432,"description":433,"draft":434,"extension":435,"faq":436,"featured":434,"howto":449,"image":450,"imageAlt":451,"intent":452,"keywords":453,"meta":458,"navigation":459,"path":460,"publishedTime":461,"readingTime":462,"seo":463,"seoTitle":464,"stem":465,"tags":466,"__hash__":470},"blog/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862.md","Rank Math SEO PRO 3.0.123 llegó con malware: si tu WordPress se actualizó el 15 de octubre, revísalo","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":417},"minimark",[11,35,44,49,52,135,146,150,153,187,190,198,201,205,353,357,391,403,408],[12,13,14,18,19,22,23,26,27,30,31,34],"p",{},[15,16,17],"strong",{},"Algunas copias de Rank Math SEO PRO 3.0.123, uno de los plugins de SEO más usados en WordPress, salieron de los servidores del fabricante con una puerta trasera."," El problema se registró como ",[15,20,21],{},"CVE-2026-111862"," con una calificación de ",[15,24,25],{},"9.8 de 10",", y Wordfence lo dio a conocer el ",[15,28,29],{},"17 de octubre de 2026"," en su aviso \"PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads\". El portal Daily CyberSecurity lo reporta como ",[15,32,33],{},"explotado activamente",": no hace falta que alguien ataque tu sitio, porque el malware llegó dentro de la actualización.",[12,36,37,38,43],{},"Es el mismo patrón que vimos a principios de mes con ",[39,40,42],"a",{"href":41},"/blog/noticias/brevo-cadena-suministro-100-mil-sitios-wordpress","los scripts de Brevo que sirvieron malware a 100,000 sitios de WordPress",": el dueño no hizo nada mal; la actualización era la trampa.",[45,46,48],"h2",{"id":47},"a-quién-le-toca","A quién le toca",[12,50,51],{},"El riesgo se concentra en unas 11 horas:",[53,54,55,68],"table",{},[56,57,58],"thead",{},[59,60,61,65],"tr",{},[62,63,64],"th",{},"Dato",[62,66,67],{},"Detalle",[69,70,71,84,95,103,117,127],"tbody",{},[59,72,73,77],{},[74,75,76],"td",{},"Plugin",[74,78,79,80,83],{},"Rank Math SEO ",[15,81,82],{},"PRO"," (la versión de pago)",[59,85,86,89],{},[74,87,88],{},"Versión afectada",[74,90,91,94],{},[15,92,93],{},"3.0.123",", solo algunos paquetes",[59,96,97,100],{},[74,98,99],{},"Ventana de descarga o actualización",[74,101,102],{},"15 de octubre, 20:02 UTC, a 16 de octubre, 07:12 UTC",[59,104,105,108],{},[74,106,107],{},"En hora del centro de México",[74,109,110,113,114],{},[15,111,112],{},"15 de octubre a las 14:02"," a ",[15,115,116],{},"16 de octubre a la 01:12",[59,118,119,122],{},[74,120,121],{},"Versión corregida",[74,123,124],{},[15,125,126],{},"3.0.124",[59,128,129,132],{},[74,130,131],{},"Identificador",[74,133,134],{},"CVE-2026-111862, CVSS 9.8 (Wordfence)",[12,136,137,138,141,142,145],{},"Según el fabricante, citado por Mallory y Bugshield, ",[15,139,140],{},"tener la 3.0.123 no prueba por sí solo que te hayan infectado",": depende de si tu sitio recibió un paquete alterado y lo activó. Si se activó en la ventana, el sitio se considera comprometido; si se instaló pero nunca se activó, basta con borrar la carpeta, instalar la 3.0.124 y escanear. Rank Math dice tener más de ",[15,143,144],{},"4 millones de usuarios"," entre la versión gratuita y la de pago, pero no ha publicado cuántos sitios PRO recibieron el paquete malo ni cómo entraron los atacantes a su distribución.",[45,147,149],{"id":148},"qué-hace-el-código-malicioso","Qué hace el código malicioso",[12,151,152],{},"De acuerdo con Daily CyberSecurity, que resume el aviso de Wordfence, el malware:",[154,155,156,168,174,181],"ul",{},[157,158,159,160,166],"li",{},"Se comunica con un servidor de control en ",[15,161,162,163,167],{},"rank1cdn",[164,165,166],"span",{},".","com",[157,169,170,173],{},[15,171,172],{},"Recrea puertas traseras en PHP"," con cada visita al sitio, aunque las borres.",[157,175,176,177,180],{},"Da de alta ",[15,178,179],{},"administradores no autorizados",", planta un archivo falso del núcleo de WordPress y registra una tarea programada en el servidor.",[157,182,183,186],{},[15,184,185],{},"Roba credenciales",": contraseñas de WordPress, de la base de datos, llaves de API y otros secretos que el servidor web pueda leer.",[12,188,189],{},"Ese último punto es el que más debe preocupar a una PyME: las llaves de la pasarela de pago, del correo o del CRM guardadas en el sitio hay que darlas por expuestas aunque todo \"se vea normal\".",[191,192,195],"callout",{"icon":193,"title":194},"i-lucide-triangle-alert","Actualizar a 3.0.124 no limpia el sitio",[12,196,197],{},"La versión nueva quita el código malicioso del plugin, pero no los administradores falsos, los archivos ocultos ni las tareas programadas que el malware ya dejó en otras carpetas y en la base de datos. Si la copia mala estuvo activa, hay que limpiar o restaurar.",[199,200],"ad-banner",{},[45,202,204],{"id":203},"qué-hacer-hoy-si-usas-rank-math-seo-pro","Qué hacer hoy si usas Rank Math SEO PRO",[206,207,208,219,283,298,327,341,347],"ol",{},[157,209,210,213,214,218],{},[15,211,212],{},"Confirma versión y fecha."," En ",[215,216,217],"em",{},"Plugins"," revisa qué versión tienes. Si ves 3.0.123, busca en el registro de actualizaciones del sitio o del panel del hosting a qué hora se instaló. Si cayó entre las 14:02 del 15 de octubre y la 01:12 del 16 (hora del centro), o no puedes saberlo, trata el sitio como comprometido.",[157,220,221,224,225],{},[15,222,223],{},"Busca las señales que publicó el fabricante"," (recopiladas por Bugshield):\n",[154,226,227,240,247,258,270,276],{},[157,228,229,230,233,234,166],{},"Usuarios administradores que empiezan con ",[15,231,232],{},"wpsupport_"," o con correo ",[15,235,236,237,239],{},"@wp-mail",[164,238,166],{},"net",[157,241,242,243,246],{},"El archivo ",[15,244,245],{},"wp-includes/class-wp-cache-util.php",", que no es parte real de WordPress.",[157,248,249,250,253,254,257],{},"Archivos PHP inesperados en ",[215,251,252],{},"wp-content/mu-plugins/",", en ",[215,255,256],{},"uploads"," o en carpetas de otros plugins y temas.",[157,259,260,261,264,265,269],{},"Reglas en ",[215,262,263],{},".htaccess"," que ejecutan archivos ",[266,267,268],"code",{},".cache"," como PHP.",[157,271,272,273,166],{},"Tareas programadas del usuario del servidor web con la marca ",[15,274,275],{},"#ms6v46",[157,277,278,279,166],{},"Conexiones de salida hacia ",[15,280,162,281,167],{},[164,282,166],{},[157,284,285,288,289,292,293,297],{},[15,286,287],{},"Restaura si puedes"," archivos y base de datos de un respaldo hecho ",[15,290,291],{},"antes del 15 de octubre a las 14:02","; los posteriores pueden traer el malware. Aquí se nota tener una ",[39,294,296],{"href":295},"/blog/recurso/template-politica-respaldos-empresa","política de respaldos"," con varias copias en el tiempo y no solo \"la de anoche\".",[157,299,300,303,304,307,308,311,312,315,316,319,320,323,324,326],{},[15,301,302],{},"Si no hay respaldo limpio, limpia en este orden"," para que la puerta trasera no se regenere: borra completa la carpeta ",[215,305,306],{},"rank-math-pro"," (no basta con desactivarla); en la tabla ",[215,309,310],{},"wp_options"," elimina las filas ",[15,313,314],{},"_uf6qdn2hmm",", ",[15,317,318],{},"t8krdk990phb"," y ",[15,321,322],{},"_np5pvf754c","; bloquea rank1cdn",[164,325,166],{},"com en el firewall o el hosting, y después reinstala WordPress, plugins y temas desde fuentes confiables.",[157,328,329,332,333,336,337,340],{},[15,330,331],{},"Cambia todas las credenciales que el sitio podía leer:"," contraseñas de administradores, las llaves y ",[215,334,335],{},"salts"," de ",[215,338,339],{},"wp-config.php",", el usuario de la base de datos, los accesos de hosting, FTP, SFTP y SSH, y las llaves de pago, correo y API guardadas en plugins. Si tu tienda cobra en línea, avisa a tu pasarela que rotarás llaves.",[157,342,343,346],{},[15,344,345],{},"Instala 3.0.124 solo desde rankmath.com."," El fabricante no manda enlaces de descarga por correo; desconfía de cualquier mensaje así.",[157,348,349,352],{},[15,350,351],{},"Vigila unas semanas"," la lista de administradores y las tareas programadas: el malware está hecho para reaparecer.",[45,354,356],{"id":355},"las-actualizaciones-automáticas-no-son-el-enemigo","Las actualizaciones automáticas no son el enemigo",[12,358,359,360,364,365,369,370,374,375,378,379,315,382,386,387,390],{},"No las apagues: hace un mes ",[39,361,363],{"href":362},"/blog/noticias/wordpress-7-1-2-cve-2026-87902-explotada","una falla crítica de WordPress 7.1 ya se explotaba dos días después del parche",", y en septiembre hubo ",[39,366,368],{"href":367},"/blog/noticias/woocommerce-wholesale-lead-capture-webshell","cien mil intentos contra un plugin de WooCommerce"," con parche desde febrero. Lo que sí conviene, como en el caso de ",[39,371,373],{"href":372},"/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos","la credencial robada del respaldo de ConnectWise",", es limitar el daño cuando un proveedor falla: ",[15,376,377],{},"menos plugins"," (cada uno tiene acceso total al servidor), ",[15,380,381],{},"llaves con el mínimo permiso",[39,383,385],{"href":384},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldos fuera del servidor y con historial",", y ",[15,388,389],{},"monitoreo de integridad"," que avise de archivos PHP o administradores nuevos.",[12,392,393,394,398,399,166],{},"Si tu sitio o tu tienda en línea usan Rank Math SEO PRO y no tienes claro cuándo se actualizó, podemos revisarlo contigo dentro de nuestros servicios de ",[39,395,397],{"href":396},"/servicios/ciberseguridad","ciberseguridad"," y de ",[39,400,402],{"href":401},"/soluciones/e-commerce","e-commerce",[12,404,405],{},[215,406,407],{},"Fuentes: Wordfence (aviso del 17 de octubre de 2026, vía Vulners y Malware News), Daily CyberSecurity (17 de octubre), Mallory y Bugshield. Al cierre de esta nota, 19 de octubre, el fabricante no había publicado cuántos sitios recibieron el paquete alterado ni cómo se comprometió su distribución.",[409,410],"call-to-action",{"description":411,"eyebrow":412,"icon":413,"label":414,"title":415,"to":416},"Revisamos versiones, administradores, archivos y tareas programadas, y si hace falta restauramos desde un respaldo limpio y rotamos tus llaves.","WordPress y cadena de suministro","i-lucide-calendar-check","Agendar revisión","¿Tu sitio recibió la actualización mala?","/contacto",{"title":418,"searchDepth":419,"depth":420,"links":421},"",2,3,[422,423,424,425],{"id":47,"depth":419,"text":48},{"id":148,"depth":419,"text":149},{"id":203,"depth":419,"text":204},{"id":355,"depth":419,"text":356},"noticias",{"title":428,"description":429,"label":430,"to":396,"icon":431},"Revisamos tu WordPress después del incidente","Buscamos administradores falsos, archivos ocultos y tareas programadas, restauramos desde un respaldo limpio y cambiamos las credenciales expuestas.","Ver ciberseguridad","i-lucide-shield-check","2026-10-19","Algunas descargas de Rank Math SEO PRO 3.0.123 traían una puerta trasera (CVE-2026-111862, 9.8). Si tu sitio se actualizó el 15 o 16 de octubre, revisa esto.",false,"md",[437,440,443,446],{"question":438,"answer":439},"Uso Rank Math gratuito, ¿me afecta?","Los avisos de Wordfence y del fabricante hablan solo de Rank Math SEO PRO, la versión de pago, y solo de algunos paquetes de la versión 3.0.123. Si únicamente tienes el plugin gratuito, no aparece entre lo afectado. Aun así, entra al panel y confirma que no exista la carpeta rank-math-pro.",{"question":441,"answer":442},"Ya actualicé a 3.0.124, ¿con eso quedo limpio?","No necesariamente. Si una copia maliciosa de 3.0.123 estuvo activa, el malware pudo crear administradores falsos, archivos ocultos y tareas programadas fuera del plugin. Actualizar no borra nada de eso: hay que limpiar o restaurar un respaldo anterior al 15 de octubre a las 14:02, hora del centro de México.",{"question":444,"answer":445},"¿Cómo sé si mi sitio descargó el paquete malo?","El riesgo está en los sitios que descargaron o se actualizaron a 3.0.123 entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC (14:02 del 15 a 01:12 del 16, hora del centro de México). Revisa el historial de actualizaciones del sitio o de tu hosting; si no puedes saberlo, trata el sitio como comprometido.",{"question":447,"answer":448},"¿Qué datos pudieron robar?","Según Wordfence y Daily CyberSecurity, el código malicioso podía robar contraseñas de WordPress, la contraseña de la base de datos, llaves de API y cualquier otro secreto que el servidor web pudiera leer. Eso incluye llaves de pasarelas de pago, de correo o de tu CRM guardadas en plugins.",null,"/images/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862.jpg","Paquete de actualización de un plugin de WordPress con un bicho rojo escondido dentro","informational",[454,455,456,457],"rank math seo pro malware","cve-2026-111862","rank math 3.0.123","plugin wordpress comprometido octubre 2026",{},true,"/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862","2026-10-19T15:30:00-06:00",5,{"title":5,"description":433},"Rank Math SEO PRO 3.0.123 con malware: qué revisar","blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862",[397,467,468,469],"wordpress","cadena de suministro","sitio web","pGuoyvmFxKRpBn-dDYLgTIE5gxqdViIZUAHIiRUyAEo",{"path":472,"title":473},"/blog/noticias/windows-update-certificados-vencen-2027","Los certificados de Windows Update vencen en 2027: qué equipos se quedarán sin actualizaciones",[475,481,487],{"path":476,"title":477,"description":478,"date":432,"category":426,"image":479,"imageAlt":480,"readingTime":462},"/blog/noticias/salario-minimo-2027-negociacion-presupuesto-nomina","Salario mínimo 2027: empresarios piden solo inflación, la CTM hasta 10 % y la Conasami busca un punto intermedio","El CCE pide quitar el MIR y ligar el salario mínimo 2027 a la inflación; la CTM pide 5 a 10 %. Se decide en diciembre. Escenarios para presupuestar tu nómina.","/images/blog/noticias/salario-minimo-2027-negociacion-presupuesto-nomina.jpg","Tres flechas de distinta altura sobre un recibo de nómina, representando los escenarios de aumento al salario mínimo 2027",{"path":482,"title":483,"description":484,"date":432,"category":426,"image":485,"imageAlt":486,"readingTime":462},"/blog/noticias/regularizacion-fiscal-sat-31-octubre-condonacion-multas","Regularización fiscal del SAT: el 31 de octubre cierra la condonación de multas y recargos","El SAT perdona hasta 100% de multas y recargos de adeudos de 2024 y anteriores. Fechas clave: 31 de octubre, 30 de noviembre y 31 de diciembre de 2026.","/images/blog/noticias/regularizacion-fiscal-sat-31-octubre-condonacion-multas.jpg","Calendario con el 31 de octubre marcado junto a un oficio del SAT y una calculadora",{"path":488,"title":489,"description":490,"date":432,"category":426,"image":491,"imageAlt":492,"readingTime":462},"/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra","GlobalProtect de Palo Alto: la falla de mayo sigue abriendo la puerta al ransomware","La falla CVE-2026-0257 de la VPN GlobalProtect tiene parche desde mayo, pero Qilin y ahora Settra la siguen explotando. Qué equipos están en riesgo y qué hacer.","/images/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra.jpg","Firewall con un túnel VPN abierto y un candado roto que deja pasar a un intruso a la red interna",{"id":494,"avatar":449,"bio":495,"entityType":496,"expertise":497,"extension":498,"meta":499,"name":6,"role":500,"slug":501,"social":449,"stem":502,"url":7,"__hash__":503},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]