Rank Math PRO puerta trasera: malware en la actualización

Rank Math PRO distribuyó una puerta trasera desde su propio canal oficial: la actualización 3.0.123 traía premio oculto. El complemento de pago para posicionamiento en WordPress sirvió durante once horas copias con código capaz de tomar el control de un sitio completo. Quien actualizó en esa ventana y activó el complemento debe tratar su página como comprometida, palabra por palabra lo que pide la propia empresa en su aviso de seguridad del 16 de octubre.

El dato ordena todo lo demás: Rank Math PRO sirvió la puerta trasera solo entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre. En hora del este de Estados Unidos, la ventana corrió de las 4:02 de la tarde del jueves a las 3:12 de la madrugada del viernes, justo el tramo en que miles de sitios en América tienen activadas las actualizaciones automáticas. La versión 3.0.123 llevaba publicada desde el 7 de octubre sin problemas; durante ocho días fue una entrega normal y, por once horas, parte de las copias que salían del servidor oficial dejaron de serlo.

Once horas de descargas definen quién quedó expuesto

Wordfence registró el caso como CVE-2026-111862, con nota de 9,8 sobre 10, el nivel más alto de gravedad. Patchstack lo clasifica como puerta trasera y aclara un punto incómodo: no existe patrón de ataque que un cortafuegos pueda bloquear, porque el golpe entró por la infraestructura del propio fabricante. El código dañino no explotó una falla de cada sitio; venía dentro del paquete legítimo.

La versión gratuita, la que se instala desde WordPress.org, quedó fuera del incidente y no requiere acción alguna. Rank Math afirma que conserva el registro de qué cuentas descargaron una copia afectada y que escribió por correo a esos clientes. Ver el número 3.0.123 en la lista de complementos, por sí solo, no prueba nada: todo depende de la hora exacta de la descarga o de la actualización.

El tamaño del ecosistema explica la preocupación. Más de cuatro millones de sitios usan Rank Math en alguna de sus ediciones, y entre los clientes de la versión de pago hay medios, tiendas con WooCommerce (la extensión de comercio de WordPress) y páginas de empresas que dependen de Google para vender. Para ese público, el aviso llegó con una instrucción que cambia la rutina habitual de mantenimiento: actualizar no basta.

La versión limpia no borra lo que el código dejó atrás

Rank Math retiró los archivos tocados y publicó la versión 3.0.124 como reemplazo limpio. Instalarla cambia la carpeta del complemento y nada más. El código que entró antes pudo crear cuentas de administrador desconocidas, plantar un archivo falso del núcleo de WordPress y dejar archivos PHP (el lenguaje en que corre WordPress) escondidos en carpetas de otros complementos, en temas y en la carpeta de subidas.

Peor todavía: el programa malicioso se comunica con un servidor externo en el dominio rank1cdn.com y puede recrear su puerta trasera oculta cada vez que alguien visita el sitio. Borrar un archivo suelto, en ese escenario, dura lo que tarda en cargar la siguiente página. La guía de recuperación de la empresa ordena los pasos por esa razón y advierte que desobedecer la secuencia deja la infección viva.

La ruta preferida es restaurar el sitio completo, archivos y base de datos, desde una copia de seguridad anterior al 15 de octubre a las 20:02 UTC. Hecha la restauración toca pasar un escáner de seguridad —la empresa cita a Wordfence y Sucuri como ejemplos—, cambiar todas las contraseñas y claves que el sitio pudiera leer, y recién entonces instalar la versión limpia de Rank Math PRO, la 3.0.124, descargada entrando directo a rankmath.com. La compañía recalca que nunca envía enlaces de descarga ni de inicio de sesión por correo.

Señales concretas para revisar hoy mismo un WordPress

Tres entradas en la tabla wp_options delatan la infección si aparecen con estos nombres exactos: _uf6qdn2hmm, t8krdk990phb y _np5pvf754c. Otras pistas que enumera el aviso oficial: cuentas de administrador que empiezan por wpsupport_ o usan correos terminados en @wp-mail.net, un archivo llamado class-wp-cache-util.php dentro de wp-includes que no pertenece al núcleo real, y reglas en el archivo .htaccess que permiten ejecutar archivos .cache como si fueran PHP.

Sin copia de seguridad limpia, la limpieza manual empieza por borrar la carpeta entera rank-math-pro, eliminar esas entradas de la base de datos y bloquear las conexiones salientes hacia rank1cdn.com, en ese orden y antes de tocar cualquier otro archivo. Después viene la búsqueda de restos: tareas programadas del servidor con la marca #ms6v46, archivos .cache con código dentro y cambios fuera de la instalación, como claves SSH (el acceso remoto al servidor) nuevas. Quien instaló la copia en la ventana pero nunca la activó tiene una salida más corta: borrar los archivos, instalar la versión limpia y pasar el escáner por precaución.

Un detalle retrata la prisa de esos días: el registro de cambios público de la versión 3.0.124 repite las mismas dos correcciones menores de la 3.0.123 y no menciona el incidente de seguridad. Quien lea solo esa lista creería que se trata de mantenimiento rutinario. Rank Math tampoco ha explicado cómo se alteraron los paquetes en su canal de distribución; esa parte de la historia sigue sin respuesta oficial y es, para cualquier cliente de pago, la pregunta que queda abierta esta semana.

Fuente: Rank Math

Foto: MagicWP

La entrada Rank Math PRO puerta trasera: malware en la actualización se publicó primero en Tecnología Geek.