✨︎ Resumen (TL;DR):
- Rank Math confirmó malware en algunas descargas de su plugin PRO para WordPress, específicamente la versión 3.0.123.
- La versión limpia 3.0.124 reemplaza el paquete afectado, pero no revierte cambios que pudieron quedar fuera del plugin.
- Si una copia afectada se instaló y activó, Rank Math pide tratar el sitio como comprometido, restaurarlo o limpiarlo y cambiar las credenciales expuestas.
Rank Math confirmó malware en algunas descargas de su plugin PRO para WordPress. El código podía reconstruir una puerta trasera, un acceso oculto para los atacantes, cuando alguien visitaba el sitio. La versión limpia 3.0.124 reemplaza el paquete afectado, pero instalarla no elimina los cambios que el malware pudo dejar fuera del plugin.
Rank Math sitúa las descargas afectadas de la versión 3.0.123 entre las 20:02 UTC del 15 de octubre de 2026 y las 07:12 UTC del 16 de octubre. La ventana duró 11 horas y 10 minutos. La versión gratuita de Rank Math queda fuera del incidente.
El número de versión no basta para confirmar una infección
Wordfence advierte que tener instalada la versión 3.0.123, por sí solo, no demuestra una infección. La respuesta depende de si el paquete se descargó, se instaló o también se activó:
- Instalada y activada: Rank Math pide tratar el sitio como comprometido.
- Instalada sin activar: hay que eliminarla, instalar la versión limpia 3.0.124 y ejecutar un análisis de seguridad.
- Solo descargada: si no se instaló ni activó, el incidente por sí solo no indica una intrusión, según Rank Math.
La activación cambia el nivel de respuesta porque el código malicioso podía actuar cuando alguien visitaba el sitio. Aun así, el paquete no debe considerarse el único lugar que requiere revisión.
El riesgo puede alcanzar el servidor y las credenciales
Wordfence advierte que el malware pudo dejar archivos, cuentas de administrador o tareas programadas fuera del plugin. También pudo exponer contraseñas, credenciales de bases de datos y claves de API accesibles para el servidor web.
Patchstack clasifica el caso como un ataque a la cadena de suministro del proveedor. Su ficha identifica el CVE-2026-111862 y una puntuación CVSS de 9.8. Patchstack también señala que no es posible crear una regla de mitigación para este incidente.
Eso separa dos tareas que suelen confundirse: sustituir el paquete afectado y eliminar los accesos que el malware pudo implantar. La primera acción apunta al plugin; la segunda exige revisar el sitio y el servidor.
Qué hacer si el sitio activó una copia afectada
Rank Math recomienda restaurar el sitio y su base de datos desde un respaldo limpio anterior al incidente. Si ese respaldo no existe, propone una limpieza manual ordenada, con ayuda técnica cuando sea necesaria.
La restauración no basta para cerrar el caso. Wordfence recuerda que las credenciales potencialmente expuestas deben cambiarse incluso después de recuperar un respaldo. La verificación también incluye analizar el sitio y el servidor, vigilar conexiones sospechosas y comprobar si reaparecen archivos eliminados.
La descarga aislada no demuestra una intrusión, pero una copia afectada instalada y activada obliga a tratar el sitio como comprometido. En ese escenario, actualizar a 3.0.124 es apenas el reemplazo del paquete; la recuperación también requiere revisar lo que pudo quedar en el servidor y cambiar las credenciales potencialmente expuestas.
