Rank Math confirmó malware en algunas descargas de su plugin PRO para WordPress. El código podía reconstruir una puerta trasera, un acceso oculto para los atacantes, cuando alguien visitaba el sitio. La empresa publicó la versión limpia 3.0.124, pero instalarla no elimina los cambios que el malware pudo dejar fuera del plugin.
El aviso oficial de Rank Math sitúa las descargas afectadas de la versión 3.0.123 entre las 20:02 UTC del 15 de octubre de 2026 y las 07:12 UTC del 16 de octubre. Son 11 horas y 10 minutos. La versión gratuita queda fuera de este incidente.
La exposición depende de la descarga y la activación
Wordfence advierte que el número 3.0.123, por sí solo, no demuestra una infección. La orientación de Rank Math distingue estas situaciones:
- Si se instaló y activó una copia afectada, el proveedor pide tratar el sitio como comprometido.
- Si se instaló sin activarla, indica eliminarla, instalar la versión limpia y ejecutar un análisis de seguridad.
- Si solo se descargó, sin instalarse ni activarse, este incidente por sí solo no indica una intrusión, según la empresa.
El riesgo puede extenderse al servidor y las credenciales
Wordfence advierte que el malware pudo dejar archivos, cuentas de administrador o tareas programadas fuera del plugin. También pudo exponer contraseñas, credenciales de bases de datos y claves de API accesibles al servidor web. La recuperación debe abarcar esos posibles accesos.
Patchstack clasifica el incidente como un ataque a la cadena de suministro del proveedor y señala que no es posible crear una regla de mitigación para este caso. Su ficha identifica CVE-2026-111862 y una puntuación CVSS de 9.8. La sustitución del paquete afectado y la eliminación de los accesos ya implantados requieren acciones distintas.
Para los sitios que activaron una copia afectada, Rank Math recomienda restaurar la web y su base de datos desde un respaldo limpio anterior al incidente. Sin ese respaldo, propone una limpieza manual ordenada, con ayuda técnica cuando sea necesaria.
Wordfence recuerda que las credenciales potencialmente expuestas deben cambiarse incluso tras restaurar un respaldo. Después, la verificación incluye analizar el sitio y el servidor, vigilar conexiones sospechosas y comprobar si reaparecen archivos eliminados.
