Rank Math PRO 3.0.123 se distribuyó con malware durante 11 horas desde el sitio oficial del fabricante

Quien instaló y activó esa versión entre el 15 y el 16 de octubre debe dar su sitio por comprometido; la versión limpia es la 3.0.124 y la gratuita no está afectada.

Algunas descargas de Rank Math PRO, un plugin de SEO para WordPress, hechas desde el sitio oficial del fabricante llevaban malware que instalaba puertas traseras ocultas, en un ataque a la cadena de suministro, informó BleepingComputer el 19 de octubre.

Según Rank Math, un número limitado de usuarios que descargó la versión 3.0.123 entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC (de 4:02 p. m. a 3:12 a. m., hora de República Dominicana) recibió archivos comprometidos. «Los archivos afectados del plugin contenían malware que podía comprometer tu sitio web si el plugin se activaba», advirtió la empresa. «Retiramos de inmediato los archivos afectados y publicamos una versión limpia, Rank Math PRO v3.0.124».

Solo la versión PRO fue alterada. La versión gratuita de Rank Math SEO en WordPress.org, activa en más de 4 millones de sitios, no se vio afectada. El malware mantiene acceso persistente, se comunica con el dominio rank1cdn[.]com y recrea puertas traseras ocultas cada vez que alguien visita el sitio. También expone credenciales de base de datos, claves de API y otros secretos a los que llega el servidor web.

Según SecurityWeek, el código también puede instalar archivos falsos del núcleo de WordPress, modificar .htaccess para ejecutar archivos .cache como PHP, programar tareas cron y alterar otros plugins y temas. Los atacantes podrían hacer cambios fuera de WordPress, por lo que los administradores deben revisar archivos authorized_keys de SSH, crontabs de otros usuarios y procesos sospechosos.

Quien instaló y activó la versión 3.0.123 en ese lapso debe tratar el sitio como comprometido: restaurar archivos y base de datos desde una copia limpia previa al incidente, escanearlo y cambiar todas las contraseñas, claves y salts. Desactivar o actualizar el plugin no elimina la amenaza. Sin copia limpia, Rank Math recomienda borrar toda la carpeta del plugin, eliminar la entrada maliciosa de la base de datos, bloquear rank1cdn[.]com y buscar cuentas de administrador desconocidas.

Quien lo instaló sin activarlo debe borrarlo, descargar la versión 3.0.124 y escanear el sitio. BleepingComputer pidió a Rank Math el número de sitios afectados y el vector inicial del ataque, sin respuesta al cierre de su nota.

Fuentes: BleepingComputer: «WordPress SEO plugin Rank Math compromised to backdoor websites», 19 de octubre de 2026; SecurityWeek: «Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack», 19 de octubre de 2026.