Rank Math PRO 3.0.123 comprometido: backdoor en sitios WordPress

Rank Math PRO, la edición de pago de uno de los plugins SEO más difundidos para WordPress, ha sido comprometido en un ataque a la cadena de suministro. Según el aviso del fabricante, recogido por SecurityWeek y BleepingComputer, algunos paquetes de la versión 3.0.123 descargados del sitio oficial entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre a las 07:12 UTC contenían malware capaz de tomar el control del sitio al activar el plugin.

Rank Math retiró los archivos manipulados y publicó la versión limpia 3.0.124. La edición gratuita, Rank Math SEO distribuida por WordPress.org y activa según BleepingComputer en más de 4 millones de sitios, no está afectada. El fabricante habla de un número limitado de usuarios; cuántos sitios se han visto afectados y cómo manipularon los atacantes los paquetes no se ha hecho público: BleepingComputer pidió ambos datos a Rank Math sin obtener respuesta.

Cómo funciona el malware

Según el aviso de Rank Math, el código malicioso del plugin establece un acceso persistente, se comunica con el dominio rank1cdn[.]com y recrea una backdoor oculta en cada visita al sitio. Por eso desactivar o actualizar el plugin después de la intrusión no basta: la limpieza manual es complicada.

SecurityWeek enumera lo que puede hacer el malware:

• instalar archivos falsos del núcleo de WordPress;
• modificar los archivos .htaccess para que los archivos con extensión .cache se ejecuten como PHP, y depositar archivos .cache con código PHP;
• crear tareas programadas de WordPress y cron jobs del sistema;
• modificar otros plugins y temas y subir más archivos;
• actuar fuera de la instalación de WordPress, allí donde el usuario del servidor web tenga permisos de escritura: archivos authorized_keys de SSH, crontabs de otros usuarios, procesos en ejecución.

El fabricante advierte que un sitio comprometido expone las credenciales de la base de datos, las claves API y otros secretos legibles por el servidor web.

Indicadores públicos

Los indicadores del aviso de Rank Math, recogidos por BleepingComputer, son:

• el dominio rank1cdn[.]com;
• la entrada de la base de datos de WordPress _np5pvf754c;
• el marcador #ms6v46 en los cron jobs;
• la clave de ofuscación XOR xmmqhn;
• cuentas de administrador cuyo nombre empieza por wpsupport_ y con dirección de correo @wp-mail.net;
• la backdoor wp-includes/class-wp-cache-util.php.

BleepingComputer encontró además en VirusTotal un script PHP, cache-preloader-fff033 (1).php, con los mismos indicadores. Parece una primera fase que crea la backdoor en wp-includes y es capaz de ejecutar comandos, modificar la base de datos de WordPress y robar credenciales de AWS, Cloudflare, Google Cloud y Azure, claves SSH y otros datos sensibles. El medio precisa que no pudo confirmar que este archivo se distribuyera a través del plugin comprometido, aunque los indicadores lo vinculan al mismo actor.

En nuestra lectura, las técnicas MITRE ATT&CK pertinentes son T1195.002 (Compromise Software Supply Chain), T1505.003 (Web Shell), T1136 (Create Account), T1053.003 (Cron), T1098.004 (SSH Authorized Keys), T1036.005 (Match Legitimate Name or Location) y T1552.001 (Credentials In Files).

Impacto para las empresas europeas e italianas

Las fuentes no citan víctimas ni países afectados, pero la distribución pasaba por el sitio oficial y afectaba a cualquiera que descargara o actualizara el plugin en esas 11 horas, incluidas las agencias web que gestionan muchos sitios de clientes. El riesgo no termina en el sitio: con las credenciales de la base de datos, las claves API y las claves de la nube, los atacantes pueden pasar a otros sistemas, y en los servidores compartidos por varios sitios la escritura fuera de WordPress amplía el perímetro.

Para las entidades sujetas a NIS2 el caso entra en la seguridad de la cadena de suministro: un plugin comprado también es software de terceros que debe figurar en el inventario. Si el sitio trata datos personales (formularios, cuentas de clientes, pedidos), una intrusión confirmada debe valorarse también a efectos de la notificación prevista por el RGPD.

Qué hacer ya

1. Comprueba la versión de Rank Math PRO en todos los sitios WordPress que gestionas y la fecha de la última actualización: está en riesgo quien instaló la 3.0.123 en la ventana del 15–16 de octubre.
2. Si el plugin se activó, considera el sitio comprometido. La vía que indica Rank Math es restaurar archivos y base de datos desde una copia de seguridad limpia anterior al incidente y después hacer un análisis de seguridad.
3. Sin una copia segura, sigue la limpieza manual del fabricante: elimina toda la carpeta del plugin y la entrada maliciosa de la base de datos, bloquea las conexiones salientes hacia rank1cdn[.]com, busca y elimina archivos PHP sospechosos, archivos .cache ejecutables, reglas anómalas en .htaccess, archivos falsos del núcleo y cuentas de administrador desconocidas, y revisa tareas programadas, plugins y temas modificados.
4. Revisa también fuera de WordPress: authorized_keys, crontabs de los usuarios del sistema, procesos sospechosos y cualquier carpeta en la que pueda escribir el usuario del servidor web.
5. Tras la limpieza, cambia todas las credenciales: contraseñas de WordPress y de la base de datos, claves API, claves y salts de wp-config.php, y las claves de la nube y SSH accesibles desde el servidor. Después instala la versión limpia 3.0.124.
6. Si el plugin se instaló pero nunca se activó, elimínalo, descarga la 3.0.124 y analiza el sitio de todos modos.

Cómo ayuda ARXDOME

En los servidores Linux que alojan los sitios, el agente de ARX Sentry controla la integridad de los archivos en las carpetas elegidas: puede señalar nuevos archivos PHP y cambios en .htaccess o en la carpeta wp-includes. El inventario de procesos y puertos ayuda a detectar procesos extraños, y con ARX Shield se aísla de la red una máquina comprometida mientras se limpia.

Última actualización: 19 de octubre de 2026