Una actualización de WordPress permitió el acceso de hackers: un popular plugin SEO ocultaba puertas traseras.

Una actualización habitual del plugin SEO se convirtió en una amenaza de toma total de sitios en WordPress. Los desarrolladores de Rank Math confirmaron que por canales oficiales se distribuyeron copias infectadas de Rank Math PRO 3.0.123. El código malicioso creaba puertas traseras ocultas que podían restaurarse incluso después de eliminar archivos sospechosos. La empresa publicó la versión limpia 3.0.124, pero una sola actualización no es suficiente.

Las compilaciones peligrosas se distribuyeron desde el 15 de octubre de 2026, 20:02 UTC, hasta el 16 de octubre, 07:12 UTC. Durante esas 11 horas los usuarios pudieron descargar el paquete infectado desde el sitio de Rank Math o recibirlo a través del mecanismo de actualizaciones. El problema afectó solo a una parte de las instalaciones de pago. La versión gratuita Rank Math SEO del directorio WordPress.org no resultó afectada, y las copias PRO 3.0.123 obtenidas antes del período indicado no forman parte de la ventana de infección establecida.

La principal peligrosidad radica en el mecanismo de autorrestauración. El código malicioso puede recrear nuevamente una puerta trasera cuando se visita el sitio infectado. Por eso la eliminación de archivos PHP individuales o la desactivación del plugin no garantizan la limpieza. Un principio similar se detectó antes en el backdoor autorreparable SC, que se fijaba en varios componentes de WordPress.

Para mantener el acceso, los atacantes usaron scripts PHP ocultos, entradas en la base de datos y tareas programadas. Entre los signos de infección se encuentran cuentas de administrador falsas con el prefijo wpsupport_, el archivo sospechoso wp-includes/class-wp-cache-util.php y conexiones con el dominio rank1cdn.com. Componentes adicionales podían hallarse en los directorios de otros plugins y temas, lo que complica la búsqueda del código malicioso.

Los desarrolladores advierten sobre la posible compromisión de datos confidenciales accesibles al servidor. Están en riesgo las contraseñas de WordPress, las credenciales de conexión a las bases de datos, las claves API, las configuraciones de pago y los datos de acceso al hosting. No hay confirmación de robo de información en cada sitio infectado. Sin embargo, se recomienda a los propietarios de los recursos donde activaron la compilación maliciosa considerar los secretos como comprometidos y reemplazar las claves y contraseñas correspondientes.

Rank Math aconseja restaurar los sitios y las bases de datos desde copias de seguridad creadas antes del 15 de octubre, 20:02 UTC. Al limpiar manualmente, primero hay que eliminar completamente el directorio rank-math-pro, luego quitar las entradas maliciosas _uf6qdn2hmm, t8krdk990phb y _np5pvf754c de la tabla de opciones de WordPress. Después de eliminar el mecanismo de restauración es necesario revisar archivos ocultos, cuentas, tareas cron y la configuración del servidor.

Incidentes similares muestran el peligro de la infección a través de actualizaciones oficiales. En junio de 2026 el código malicioso también se difundió a través de la infraestructura de desarrolladores de complementos comerciales de WordPress. En el caso de Rank Math, la instalación de la versión corregida 3.0.124 elimina el componente infectado, pero no borra las puertas traseras y otros cambios que pudieron aparecer después de la activación del paquete malicioso.

La empresa ya retiró los archivos peligrosos de la distribución. A los propietarios de sitios que descargaron la compilación infectada pero no la activaron les basta con eliminar el paquete, instalar la versión limpia y revisar el sistema. Aún no han revelado la causa de la compromisión de la infraestructura de Rank Math ni la identidad de los atacantes. El número exacto de instalaciones afectadas tampoco se conoce. Además, tras actualizar los sistemas internos, la empresa eliminó parte de las cuentas gratuitas creadas recientemente, que habrá que registrar de nuevo.