Se ha encontrado malware en el plugin Rank Math PRO de WordPress
Una versión comprometida del plugin SEO Rank Math PRO distribuida durante más de 11 horas introdujo una puerta trasera autorrecuperable. Los sitios que usen las versiones afectadas deben considerarse vulnerados.
Resumen
- Las versiones del plugin Rank Math PRO distribuidas entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC contienen malware.
- La puerta trasera es autorrecuperable, lo que dificulta su eliminación manual.
- Más de 100.000 sitios web utilizan plugins Rank Math, aunque se desconoce el número exacto de afectados.
- Los usuarios deben tratar los sitios afectados como comprometidos y seguir los pasos de remediación.
- Rank Math ha lanzado versiones limpias y recomienda actualizar inmediatamente.
Entre el 15 y el 16 de octubre de 2026, se insertó código malicioso en el plugin Rank Math PRO para WordPress. Esta herramienta SEO, utilizada por más de 100.000 sitios web, distribuyó sin saberlo una versión comprometida que instala una puerta trasera persistente al activarse.
La ventana de brecha duró poco más de 11 horas, pero debido a la amplia adopción del plugin, el impacto potencial es significativo. Los investigadores de seguridad advierten que la puerta trasera incrustada puede reinstalarse incluso después de intentos de eliminación, lo que requiere procedimientos exhaustivos de limpieza.
Detalles del ataque
- Las versiones maliciosas del plugin se distribuyeron directamente desde rankmath.com y mediante actualizaciones automáticas.
- La ventana de infección fue desde las 20:02 UTC del 15 de octubre hasta las 07:12 UTC del 16 de octubre.
- Una vez activado, el plugin crea usuarios administradores ocultos e instala una puerta trasera sigilosa.
- El malware incluye funciones anti-detección e intenta desactivar plugins de seguridad.
- Un mecanismo de autorrestauración permite que la puerta trasera persista incluso tras una limpieza parcial.
Respuesta y remediación
- Rank Math confirmó la brecha y retiró inmediatamente las versiones infectadas.
- Se han vuelto a publicar nuevas versiones limpias tanto para usuarios gratuitos como PRO.
- Los sitios afectados deben tratarse como completamente comprometidos, independientemente de los síntomas visibles.
- Los propietarios de los sitios deben eliminar todos los archivos asociados a las versiones maliciosas del plugin.
- Se recomienda encarecidamente auditar completamente el servidor, restablecer credenciales y endurecer la seguridad.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.