Rank Math ha confirmado que las copias de Rank Math PRO, la versión de pago de su plugin SEO para WordPress, distribuidas desde rankmath.com o enviadas como actualizaciones entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre contenían código malicioso. Según el aviso de seguridad publicado el 16 de octubre, cualquier sitio que haya instalado y activado una de esas copias debe considerarse comprometido, ya que el malware puede regenerar su puerta trasera oculta cada vez que un visitante accede al sitio.
La empresa eliminó los archivos afectados y lanzó la versión limpia 3.0.124. Sin embargo, Wordfence advirtió el 17 de octubre de que instalar esa actualización reemplaza el plugin pero no borra los archivos, cuentas de administrador ni tareas programadas que el malware pudiera haber implantado en otras partes del servidor.
Quién está afectado
El número de versión no permite saber si una copia está comprometida: el registro de cambios de Rank Math fecha la 3.0.123 el 7 de octubre, más de una semana antes de que se abriera la ventana del incidente, y el aviso limita el problema a las copias descargadas o instaladas mediante una actualización durante ese intervalo. Una copia de la 3.0.123 obtenida antes de las 20:02 UTC del 15 de octubre queda fuera del incidente.
El aviso clasifica los sitios en tres supuestos:
- Instaló y activó la 3.0.123 durante la ventana: trate el sitio como comprometido, aunque ya lo haya actualizado a la 3.0.124, y siga los pasos de recuperación.
- Instaló el plugin pero nunca lo activó: elimine los archivos del plugin, instale la 3.0.124 desde su cuenta de Rank Math y ejecute un análisis de seguridad.
- Descargó el plugin pero nunca lo instaló ni activó: nada indica, por este incidente, que el sitio esté comprometido.
Rank Math ha enviado correos a algunos usuarios y pide a quienes duden si instalaron o activaron los archivos que contacten con su equipo de soporte. El aviso afecta únicamente al plugin PRO, que los clientes descargan y actualizan desde rankmath.com y no desde WordPress.org. El plugin gratuito Rank Math SEO de WordPress.org, con más de cuatro millones de instalaciones activas y actualizado por última vez el 6 de octubre, no aparece mencionado.
Qué hace el malware
La información disponible procede del aviso de Rank Math. Ni este ni el de Wordfence incluyen un análisis del código ni identifican a los responsables. Borrar archivos sospechosos antes de detener el mecanismo que regenera la puerta trasera puede no resolver el problema, de ahí la importancia del orden de limpieza. El atacante también pudo haber dejado archivos PHP de puerta trasera en carpetas de otros plugins, en carpetas de temas y en el directorio de plugins must-use, creado cuentas de administrador, añadido un falso archivo del núcleo de WordPress, modificado .htaccess para que los archivos .cache se ejecuten como PHP y añadido tareas programadas y claves SSH.
Cualquier contraseña, credencial de base de datos, clave de API u otro secreto al que el sitio tuviera acceso puede haberse visto expuesto, y los propietarios deben asumir que así fue. Wordfence asignó al incidente el identificador CVE-2026-111862 y lo valoró con 9,8 sobre 10, con el investigador sin identificar. Patchstack lo clasifica como puerta trasera y señala que, al haberse atacado los propios sistemas de Rank Math, «no es posible una regla de mitigación».
Cómo recuperarse
La recuperación preferida por Rank Math es restaurar una copia de seguridad. Si existe una copia del sitio y de su base de datos anterior a las 20:02 UTC del 15 de octubre, restáurela, ejecute un análisis de seguridad, cambie todas las contraseñas y credenciales y solo después instale la 3.0.124 desde su cuenta de Rank Math.
Si no hay copia limpia, la limpieza manual sigue un orden fijo y tres acciones preceden a tocar cualquier otra cosa:
- Eliminar por completo la carpeta del plugin rank-math-pro mediante el gestor de archivos del alojamiento o FTP. «Desactivar el plugin por sí solo no es suficiente», indica el aviso.
- En la tabla wp_options, borrar cualquier entrada cuyo option_name sea _uf6qdn2hmm, t8krdk990phb o _np5pvf754c.
- Bloquear las conexiones salientes a rank1cdn[.]com si el proveedor de alojamiento o el cortafuegos lo permiten.
Solo entonces comienza la búsqueda de otros cambios, en estos lugares:
- Archivos: archivos PHP en wp-content/mu-plugins/, en carpetas de otros plugins, en las carpetas inc/, includes/ y lib/ de temas no predeterminados, en la propia carpeta includes/ de Rank Math y en uploads/.
- Código: PHP que use base64_decode con bucles XOR, la clave xmmqhn, proc_open o código de socket PHP-FPM.
- Archivo: wp-includes/class-wp-cache-util.php, que no forma parte del núcleo de WordPress.
- Cuentas: nombres de usuario administrador que empiecen por wpsupport_ o cuentas con direcciones de correo terminadas en @wp-mail[.]net.
- Servidor: reglas de .htaccess que permitan ejecutar archivos .cache como PHP, archivos .cache con código PHP, entradas etiquetadas #ms6v46 en el crontab del usuario del servidor web, eventos programados de WordPress, archivos SSH authorized_keys, crontabs de otros usuarios, procesos en ejecución y cualquier ubicación fuera del sitio donde el servidor web pueda escribir.
Wordfence añade una advertencia: «Su ausencia no demuestra por sí misma que un sitio esté limpio». Las credenciales se cambian en todos los casos, incluso después de restaurar una copia de seguridad. La lista incluye contraseñas de WordPress, el usuario y la contraseña de la base de datos en wp-config.php, las claves de seguridad y sales del mismo archivo, las claves de API de pasarelas de pago, SMTP y otras, el acceso al panel de control del alojamiento, FTP, SFTP y SSH, los secretos guardados en variables de entorno y la autenticación de dos factores de los administradores.
La limpieza termina con un análisis de seguridad, wp core verify-checksums para el núcleo de WordPress y wp plugin verify-checksums –all, con la advertencia de que puede que no existan sumas de comprobación para plugins premium. WordPress.org no publica ninguna para este plugin: The Hacker News comprobó su servicio plugin-checksums el 19 de octubre y no encontró ningún archivo del plugin PRO bajo ninguno de sus nombres, mientras que sí existe una para el plugin gratuito. El aviso ofrece como alternativa una copia limpia desde la fuente oficial.
La versión limpia 3.0.124 se instala al final, descargada iniciando sesión directamente en rankmath.com. Algunos clientes podrían no poder acceder y necesitar restablecer la contraseña de su cuenta, según el aviso, que no explica el motivo, y Rank Math nunca enviará enlaces de inicio de sesión o descarga por correo electrónico.
Lo que Rank Math no ha dicho
Rank Math, parte del grupo sueco de alojamiento group.one, no ha explicado cómo entraron los archivos maliciosos en su sistema de descargas y actualizaciones, cuántos clientes recibieron uno, si las actualizaciones automáticas los distribuyeron ni cuáles son los hashes de los paquetes limpios y contaminados. Su única declaración sobre el futuro es que el equipo está tomando medidas para reducir el riesgo de incidentes similares. Los registros de dominios muestran que rank1cdn[.]com, el dominio que Rank Math pide bloquear, se registró a las 19:31 UTC del 14 de octubre, aproximadamente un día antes de que se abriera la ventana.
Un patrón repetido este año
Es al menos la tercera vez este año que el canal de actualizaciones gestionado por el proveedor de un plugin premium de WordPress distribuye versiones con puerta trasera. En abril, el sistema de actualizaciones de Nextend sirvió durante unas seis horas un Smart Slider 3 Pro con puerta trasera. En junio se descubrió que los plugins Pro de ShapedPlugin habían sido contaminados en su canal de actualizaciones, y un paquete que se había distribuido limpio fue después «manipulado con el mismo número de versión», la misma trampa a la que se enfrentan ahora los clientes de Rank Math.
Los atacantes también alteraron scripts servidos desde la CDN de Awesome Motive en junio y envenenaron el feed de la API de BdThemes en agosto. Ninguna publicación vincula a los responsables de aquellos incidentes con este.
Deja una respuesta