Rank Math PRO con malware: qué hacer si tu web lo instaló

Rank Math avisó el 16 de octubre de 2026 de que algunas copias de su plugin de pago Rank Math PRO 3.0.123 traían malware. Afecta a las webs WordPress que lo descargaron o actualizaron entre el 15 de octubre a las 15:02 y el 16 de octubre a las 02:12 (hora de Perú). La versión limpia es la 3.0.124.

Lo que se sabe

  • El aviso: Rank Math lo publicó el 16 de octubre a las 20:32 UTC y lo actualizó el 17 de octubre. Dice que los archivos afectados contenían malware que podía comprometer la web si el plugin se activaba.
  • La ventana: según el aviso, del 15 de octubre a las 20:02 UTC al 16 de octubre a las 07:12 UTC. Fuera de esa ventana, el número de versión 3.0.123 por sí solo no indica que una copia esté infectada: el registro de cambios fecha esa versión el 7 de octubre.
  • A quién: Rank Math habla de «un número limitado de usuarios», sin cifra, y no explica cómo entró el malware en sus archivos.
  • La gravedad: Patchstack lo registró el 17 de octubre como CVE-2026-111862, una puerta trasera que no necesita iniciar sesión, con 9,8 sobre 10. Añade que no se puede frenar con una regla de cortafuegos porque el ataque fue contra los sistemas del propio Rank Math.
  • Desactivar no basta: el aviso pide borrar la carpeta del plugin y advierte que el malware puede recrear su puerta trasera cada vez que alguien visita la web.
  • Correos: Rank Math dice que nunca envía enlaces de acceso o de descarga por correo, y que puede que algunos usuarios no logren entrar en su cuenta y tengan que restablecer la contraseña.
  • El plugin gratuito: el aviso solo habla de Rank Math PRO 3.0.123. No menciona la versión gratuita de wordpress.org.

Qué cambia y qué no

Para quien usa solo la versión gratuita, el aviso no pide nada. Para quien tiene PRO y lo actualizó esos días, el problema no se arregla actualizando: si el plugin llegó a activarse, el aviso pide tratar la web como comprometida aunque ya tenga la 3.0.124.

Según The Hacker News, que lo contó el 19 de octubre, es al menos el tercer caso este año en que un fabricante de plugins de pago para WordPress distribuye malware por su propio canal de actualizaciones.

Cómo saber si te afecta

  1. Mira si tu web tiene Rank Math PRO. En WordPress, en «Plugins», busca «Rank Math SEO PRO» y su versión. Si solo aparece «Rank Math SEO», es la gratuita.
  2. Comprueba la fecha. Si tenías la 3.0.123, averigua cuándo se instaló o actualizó: el registro de actividad del plugin de seguridad, el historial del hosting o quien administre la web. Lo que cuenta es si cayó entre el 15 de octubre a las 15:02 y el 16 a las 02:12 (hora de Perú).
  3. Si se activó en la ventana: la vía que recomienda Rank Math es restaurar una copia de seguridad anterior a las 15:02 del 15 de octubre (hora de Perú), y después instalar la 3.0.124 entrando tú mismo en rankmath.com.
  4. Si no tienes esa copia, la limpieza es manual y en orden: borrar la carpeta del plugin, quitar de la base de datos las tres entradas de wp_options del aviso y, si se puede, bloquear las conexiones salientes al dominio rank1cdn.com. Después hay que buscar las demás señales: cuentas de administrador que empiezan por «wpsupport_», el archivo wp-includes/class-wp-cache-util.php, que no es de WordPress, y tareas programadas desconocidas. Si no tienes acceso al hosting, pídeselo hecho a tu proveedor con el enlace del aviso.
  5. Cambia todas las claves, también si restauras: WordPress, base de datos, claves de wp-config, hosting, FTP o SSH, y las claves de API de pagos, correo o IA que la web tenga guardadas.
  6. Desconfía de los correos que te ofrezcan la versión limpia con un enlace.

Relacionado: All in One SEO: dos fallos de seguridad, actualiza ya

Fuentes

Actualizaciones: si Rank Math explica cómo entró el malware o cuántas webs lo recibieron, se añadirá aquí con su enlace.