Para: quienes usen el plugin SEO de pago para WordPress Rank Math PRO, y agencias o responsables de mantenimiento que lo hayan instalado en sitios de clientes.
Este artículo se basa en el aviso oficial de Rank Math. No cubre técnicas de ataque, el contenido del malware ni valores concretos de indicadores de compromiso (IoC). Consulte esos datos en la página de aviso de la empresa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
Al 20 de octubre de 2026Aún no se sabe
- El número de usuarios o sitios afectados (solo se indica «un número limitado»)
- Cómo llegó el malware a los archivos distribuidos
- Qué hace la empresa para evitar que se repita
- Si los datos de las cuentas de Rank Math se vieron afectados
La empresa no ha dicho si publicará un seguimiento. El aviso se publicó el 16 de octubre (UTC) y se actualizó el 19 de octubre con una nota que indica que la versión gratuita no está afectada. Al 20 de octubre no hay cambios posteriores.
Qué deben hacer hoy los usuarios de Rank Math PRO
El paso 1 es para todos. Los pasos siguientes siguen las indicaciones de la empresa para los sitios que activaron la 3.0.123 obtenida durante el periodo afectado. Si no se siente cómodo trabajando con archivos del servidor o bases de datos, la empresa recomienda encarecidamente pedir ayuda a su proveedor de alojamiento o a un profesional de seguridad cualificado.
Compruebe si está afectado: la versión, cuándo la obtuvo y si la activó
La empresa pide revisar la versión instalada de Rank Math PRO en Plugins, en el panel de administración de WordPress. Las copias afectadas son la 3.0.123 descargadas o actualizadas durante este periodo:
- UTC: 15 de octubre de 2026, 20:02 a 16 de octubre de 2026, 07:12
- Hora de Japón: 16 de octubre de 2026, 5:02 a 16:12
La empresa indica acciones distintas para cada caso.
| Su caso | Indicación de la empresa |
|---|---|
| Instaló y activó la 3.0.123 obtenida durante el periodo afectado | Considere el sitio comprometido y recupérelo desde el paso 2 |
| Instalada pero nunca activada | Elimine los archivos del plugin, instale la 3.0.124 y ejecute un análisis de seguridad por precaución |
| Solo descargada (no instalada ni activada) | Este incidente por sí solo no indica que el sitio haya sido comprometido |
| No está seguro | Contacte con el soporte de la empresa |
Si solo usa el plugin gratuito Rank Math SEO de WordPress.org, no está afectado y no necesita hacer nada.
Si la activó: restaure desde una copia de seguridad anterior al periodo (recomendación de la empresa)
La recuperación recomendada por la empresa consiste en restaurar tanto los archivos del sitio como la base de datos desde una copia de seguridad creada antes de las 20:02 UTC del 15 de octubre. En hora de Japón, eso equivale a una copia anterior a las 5:02 del 16 de octubre.
Después de restaurar, ejecute un análisis de seguridad, cambie las credenciales como se indica en el paso 4 e instale la 3.0.124 al final. Si no sabe cómo restaurar una copia de seguridad, la empresa sugiere consultar a su proveedor de alojamiento.
Si no puede restaurar: limpie manualmente, en el orden que indica la empresa
Según la empresa, el malware puede recrear su puerta trasera oculta (una vía de acceso para el intruso) cada vez que alguien visita el sitio. Por eso pide completar primero todo lo que impide que se reconstruya, y solo después buscar otros archivos sospechosos. Si se hace al revés, los archivos eliminados podrían volver.
Primero (complete todos estos puntos antes de continuar):
- Usando el administrador de archivos de su alojamiento o FTP, elimine la carpeta completa del plugin Rank Math PRO (rank-math-pro). Desactivarlo no es suficiente
- Elimine la entrada maliciosa de la tabla de opciones de la base de datos, cuyos nombres indica la empresa
- Si su alojamiento o cortafuegos lo permite, bloquee las conexiones salientes al dominio que indica la empresa
Segundo, busque otros cambios que el intruso pudo dejar. La empresa señala estos lugares (los nombres de archivo concretos, los patrones y los marcadores están en su página de aviso):
- Cuentas de administrador que no reconozca (la empresa ha publicado los patrones de nombre de usuario y correo que conviene buscar)
- Archivos PHP sospechosos en las carpetas de otros plugins, en los temas y en la carpeta de plugins que WordPress carga siempre
- Un archivo que se hace pasar por parte del núcleo de WordPress y que no debería estar ahí (la empresa lo nombra)
- Reglas añadidas en
.htaccessque permiten ejecutar archivos como PHP cuando normalmente no lo harían - Entradas que usted no añadió en el crontab del servidor y en los eventos programados de WordPress
- Archivos PHP en la carpeta
uploads/; reinstale otros plugins y temas desde sus fuentes oficiales - Lado del servidor: claves SSH autorizadas, crontabs de otros usuarios, procesos en ejecución y lugares fuera del sitio en los que el servidor web pueda escribir
En alojamiento compartido, si no puede ver usted mismo los elementos del servidor, la empresa pide que su proveedor los revise. Para un mapa más amplio de dónde buscar, consulte cómo comprobar si un sitio o servidor ha sido comprometido.
Incluso tras restaurar una copia: cambie todas las credenciales que el sitio pudiera leer
La empresa afirma que este paso es imprescindible aunque haya restaurado desde una copia de seguridad. Suponga que las credenciales y secretos a los que el sitio comprometido pudo acceder quedaron expuestos, y sustitúyalos por valores nuevos:
- Contraseñas de las cuentas de WordPress y cualquier otra contraseña a la que el sitio pudiera acceder
- El usuario y la contraseña de la base de datos en
wp-config.php - Las claves de seguridad y salts en
wp-config.php(nota de este sitio: regenerarlas cierra la sesión de todos los usuarios) - Claves de pasarelas de pago, credenciales SMTP y otras claves de API (nota de este sitio: vuelva a emitirlas en el panel de cada servicio y desactive las antiguas)
- Contraseñas o claves del panel de control de alojamiento, FTP/SFTP y SSH, y cualquier secreto guardado en variables de entorno
- Autenticación de dos factores de las cuentas de administrador, restablecida donde sea necesario
Actualice la configuración del sitio y los servicios conectados con los nuevos valores. Si no está seguro de qué credenciales sustituir, la empresa sugiere revisarlas con su proveedor de alojamiento o con un profesional de seguridad. Para manejar claves de API, consulte archivos .env y claves de API.
Compruebe que el sitio está limpio y vigílelo durante unos días
Tras la limpieza, la empresa pide que:
- Ejecute un análisis con una herramienta de seguridad reconocida, como un plugin de seguridad
- Ejecute
wp core verify-checksumsde WP-CLI para confirmar que los archivos del núcleo de WordPress coinciden con la versión oficial - Ejecute
wp plugin verify-checksums --allpara los archivos de los plugins. Los plugins de pago podrían no admitirlo, así que compárelos con una copia limpia de la fuente oficial - Vigile las conexiones salientes y la actividad inusual durante los días siguientes, y compruebe si los archivos eliminados reaparecen
Si los archivos eliminados vuelven o la actividad inusual continúa, la limpieza podría estar incompleta. La empresa pide volver a la segunda parte del paso 3 y que su proveedor o un profesional de seguridad investigue.
Instale la 3.0.124 al final: inicie sesión en rankmath.com usted mismo para descargarla
La versión limpia es Rank Math PRO v3.0.124. La empresa pide abrir directamente rankmath.com, iniciar sesión en su cuenta y descargarla desde sus descargas.
La empresa afirma que nunca enviará enlaces de inicio de sesión o descarga por correo electrónico. Considere sospechosos los correos no solicitados que le pidan hacer clic en un enlace para restablecer la contraseña o descargar algo. También indica que algunos usuarios podrían no poder iniciar sesión y necesitar restablecer la contraseña de su cuenta. Para distinguir correos falsos, consulte qué es el phishing.
Activó la 3.0.123 obtenida durante el periodo afectado
Considere el sitio comprometido
↓→
1. Restaure una copia anterior al periodo
Si no puede: elimine la carpeta y busque otros cambios
Cualquiera que sea la vía elegida
Incluso tras restaurar una copia
↓→
2. Cambie todas las credenciales
Base de datos, salts, claves de API, alojamiento, FTP/SSH
Instalada pero nunca activada
Los archivos siguen ahí
↓→
Elimine los archivos y analice
Después instale la 3.0.124
Solo descargada, o solo versión gratuita
Sin indicios de compromiso por este incidente / no afectado
↓→
3. Obtenga la 3.0.124 desde rankmath.com
Nunca desde un enlace de correo
Para agencias y responsables de mantenimiento
Si ha instalado Rank Math PRO en sitios de clientes, haga una lista de los sitios donde el plugin se actualizó entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre. En general, con las actualizaciones automáticas de plugins activadas, la 3.0.123 pudo instalarse durante el periodo sin que nadie tocara el sitio. Una forma rápida de elaborar la lista es comprobar, en cada sitio que gestione, la versión de Rank Math PRO y la fecha de modificación de la carpeta del plugin.
Qué ocurrió (según Rank Math)
Todo lo siguiente procede del artículo de la base de conocimientos de Rank Math «Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website» (publicado el 16 de octubre de 2026, actualizado el 19 de octubre).
15 oct, 20:02 UTC
Desde este momento, algunos usuarios que descargaron o actualizaron a Rank Math PRO v3.0.123 están afectados.16 oct, 07:12 UTC
Termina el periodo afectado. La empresa afirma que eliminó de inmediato los archivos afectados y publicó una v3.0.124 limpia (no se indica la hora de la eliminación).16 oct, 20:32 UTC
La empresa publica el aviso en su base de conocimientos.19 oct
El aviso se actualiza con una nota que indica que la versión gratuita de WordPress.org no está afectada y no requiere ninguna acción.Al 20 oct
Sin cambios posteriores.
- Afectados
- «Un número limitado de usuarios» que descargaron o actualizaron a Rank Math PRO v3.0.123 entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre
- Qué ocurrió
- Los archivos afectados del plugin contenían malware que podía comprometer el sitio si el plugin se activaba
- Qué hace el malware (según lo revelado)
- Puede recrear su puerta trasera oculta cada vez que se visita el sitio. La empresa afirma que el intruso pudo dejar archivos, cuentas o cambios a nivel de servidor adicionales
- Respuesta de la empresa
- Eliminó de inmediato los archivos afectados y publicó una v3.0.124 limpia. Afirma que está tomando medidas para reducir el riesgo de incidentes similares
- No afectado
- El plugin gratuito Rank Math SEO distribuido en WordPress.org
- Cómo obtener la corrección
- Inicie sesión directamente en rankmath.com y descárguela. La empresa nunca envía enlaces de inicio de sesión o descarga por correo
- Causa y cifras
- No revelados
- Soporte
- La dirección de correo o el ticket de soporte que aparece en la página del aviso. La empresa pide incluir su versión de Rank Math PRO y los pasos que ya haya dado
Qué se sabe y qué no
Estado al 20 de octubre de 2026. Cuando haya un seguimiento, se actualizará la columna de estado.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Versión afectada | Rank Math PRO v3.0.123 | Confirmado (según la empresa) |
| Periodo afectado | Descargas y actualizaciones entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre | Confirmado (según la empresa) |
| Malware en los archivos | Los archivos afectados del plugin contenían malware | Confirmado (según la empresa) |
| Compromiso de los sitios que lo activaron | Podrían estar comprometidos; la empresa pide a los usuarios que los consideren comprometidos | Posible (según la empresa) |
| Credenciales del sitio | La empresa pide suponer que los secretos a los que el sitio podía acceder quedaron expuestos, y cambiarlos | Posible (según la empresa) |
| Versión gratuita (WordPress.org) | No afectada; no requiere acción | No incluido (según la empresa) |
| Solo descargada | Este incidente por sí solo no indica que el sitio haya sido comprometido | No confirmado (según la empresa) |
| Número de usuarios o sitios afectados | Solo «un número limitado de usuarios» | No indicado |
| Cómo llegó el malware a los archivos | No indicado en el aviso | No indicado |
| Medidas contra la repetición | La empresa dice que está tomando medidas, sin describirlas | No indicado |
| Datos de cuentas de Rank Math | Algunos usuarios podrían necesitar restablecer la contraseña de su cuenta para iniciar sesión; no se indica el motivo ni si afecta a los datos de la cuenta | No indicado |
| 3.0.123 obtenida fuera del periodo | El aviso solo abarca las copias obtenidas dentro del periodo y no dice nada sobre otras (el registro de cambios de PRO de la empresa fecha la 3.0.123 el 7 de octubre) | No indicado |
Cómo leer esto: aunque el número sea pequeño, decida por versión y momento
La empresa describe el grupo afectado como «un número limitado de usuarios», pero no da ninguna cifra, y este sitio no publica suposiciones. Decida si está afectado según si obtuvo la 3.0.123 dentro del periodo y activó esos archivos, no según el número.
El aviso de la empresa menciona productos de seguridad concretos como ejemplos de herramientas de análisis; por política, este sitio solo nombra a la organización que comunicó el incidente.
Qué puede ocurrir cuando el malware entra en los archivos distribuidos de un plugin
Lo que sigue es válido en general; no significa que estas cosas hayan ocurrido en este caso. Lo que la empresa ha revelado sobre este malware figura en «Qué ocurrió» más arriba.
Un plugin de WordPress se ejecuta con los mismos permisos que el sitio. Una vez activado, puede leer y escribir en la base de datos, en las credenciales de wp-config.php y en otros archivos del servidor. Por eso, cuando el propio paquete distribuido contiene código malicioso, ninguna contraseña de administrador fuerte del propietario del sitio impide la intrusión.
Lo que diferencia este caso de la reutilización de contraseñas o de una vulnerabilidad antigua de un plugin es que el problema llega a través de una fuente de confianza, instalada de la forma habitual. Casos similares con herramientas para desarrolladores son el compromiso de la cadena de suministro de Trivy y los incidentes de TanStack y Nx Console. En ambos, se distribuyeron contenidos maliciosos bajo nombres de versión legítimos, y los usuarios tuvieron que reemplazar sus credenciales.
Lo que los propietarios de sitios pueden revisar: a partir de los hechos publicados
La empresa no ha revelado la causa, así que esta sección no dice cómo debería haberla evitado el distribuidor ni juzga su respuesta. Se limita a tres puntos de los hechos publicados que ayudan a los usuarios a prepararse para el próximo incidente.
Mantenga copias de seguridad de varios días
Esta vez, la recuperación preferida por la empresa fue «restaurar desde una copia de seguridad anterior al periodo». Pero si sus copias solo conservan una generación, una copia tomada la tarde del 16 de octubre sobrescribe el último estado limpio. Si lo detectó un día o más después del aviso, puede que ya no quede nada limpio que restaurar.
Como primer paso, compruebe que las copias diarias se conservan al menos siete días, que se guardan fuera del sitio (fuera de su cuenta de alojamiento) y que incluyen tanto la base de datos como los archivos. Consulte fundamentos de copias de seguridad y recuperación.
Guarde una copia limpia de cada versión de plugin de pago que instale
Para comprobar los archivos del plugin después de una limpieza, la empresa señala que la verificación de sumas de control puede no estar disponible para los plugins de pago, y sugiere comparar con una copia limpia de la fuente oficial. A diferencia de los plugins distribuidos en WordPress.org, los plugins de pago pueden no tener esa verificación.
Si guarda el archivo ZIP que descargó del proveedor para cada versión que instala, podrá comprobar después si los archivos del servidor son los mismos que instaló. Para reforzar WordPress en general, consulte seguridad de WordPress.
Liste los secretos de su sitio, suponiendo que los cambiará
Las credenciales que la empresa pide cambiar abarcan la base de datos, los salts, los pagos, el envío de correo, el panel de alojamiento, FTP y SSH. Empezar a buscarlas solo cuando se encuentra un compromiso hace que se pasen por alto algunas.
Mantenga una página por sitio que indique qué secreto está guardado dónde y en qué panel se vuelve a emitir, para poder cambiarlos en orden en un día como este. La misma lista ayuda si su proveedor de alojamiento sufre una brecha (qué hacer cuando su proveedor de alojamiento sufre una brecha).
Fuentes (registro público)
Los hechos de este artículo proceden de la siguiente información pública. No se reproducen el contenido del malware, los dominios que contacta ni los valores concretos de los indicadores.
- Rank Math, «Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website» (publicado el 16 de octubre de 2026, actualizado el 19 de octubre) — rankmath.com
- Rank Math, «PRO Changelog» (consultado el 20 de octubre de 2026; v3.0.124 fechada el 16 de octubre, v3.0.123 fechada el 7 de octubre) — rankmath.com
Historial de actualizaciones
2026-10-20: Primera versión, basada en el aviso de Rank Math tal como se actualizó el 19 de octubre. Se actualizará cuando se publiquen la causa o las cifras.
Lectura recomendada
- Revisar su propio sitio: Cómo comprobar si un sitio o servidor ha sido comprometido (alojamiento compartido, WordPress, VPS)
- Reforzar WordPress: Seguridad de WordPress
- Preparación: Fundamentos de copias de seguridad y recuperación / Cómo elegir la autenticación multifactor
- Cuando el proveedor sufre una brecha: Qué hacer cuando su proveedor de alojamiento sufre una brecha
- Términos: Qué es una puerta trasera / Qué es el malware
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026