Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor
The Hacker News · 19 oct, 18:28
El complemento Rank Math PRO para WordPress fue comprometido y distribuyó malware con un backdoor autorrecuperable entre el 15 y 16 de octubre. Los sitios que instalaron o actualizaron la versión afectada (3.0.123) durante esa ventana deben considerarse comprometidos, aunque hayan actualizado a la versión limpia 3.0.124, porque el malware puede haber dejado artefactos persistentes en el servidor.
Rank Math distribuyó malware a través de descargas y actualizaciones automáticas desde rankmath.com durante una ventana de aproximadamente 11 horas el 15 y 16 de octubre. El malware es capaz de recrear un backdoor oculto cada vez que alguien visita el sitio afectado, lo que lo hace resistente a las mitigaciones simples.
La gravedad radica en que el complemento PRO de Rank Math afecta a sitios que lo descargaban directamente desde rankmath.com (más de 4 millones de instalaciones activas la versión gratuita en WordPress.org, aunque se desconoce el número de clientes de PRO). El atacante pudo haber dejado puertas traseras PHP en carpetas de otros complementos, temas, directorios de complementos obligatorios, cuentas de administrador falsificadas, archivos falsos del núcleo de WordPress y tareas programadas. Wordfence asignó CVE-2026-111862 con puntuación 9,8/10. El ataque fue contra los propios sistemas de Rank Math, no contra una vulnerabilidad en el código del complemento.
La recuperación requiere restauración desde una copia de seguridad anterior al 15 de octubre, o limpieza manual minuciosa en orden específico: eliminar la carpeta del complemento, borrar entradas específicas de la base de datos, bloquear conexiones salientes maliciosas, buscar archivos PHP sospechosos en múltiples ubicaciones, y cambiar todas las credenciales.
Puntos clave
- Versión afectada: Rank Math PRO 3.0.123 descargada entre 15-16 octubre 2026
- Versión limpia: 3.0.124, pero no elimina artefactos maliciosos del servidor
- Recuperación recomendada: restaurar desde copia de seguridad anterior al 15 de octubre a las 20:02 UTC
- Si no hay copia de seguridad limpia: limpieza manual en orden específico, eliminar carpeta, borrar opciones en BD, cambiar todas las credenciales
- El malware recreable requiere búsqueda extensiva de backdoors PHP, cuentas falsas y tareas programadas