Alerta CRÍTICA: Se ha detectado un compromiso en la cadena de suministro del plugin Rank Math SEO PRO para WordPress, en un subconjunto de paquetes de la versión 3.0.123 descargados o actualizados entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC. Los archivos afectados contienen malware que puede comprometer completamente el sitio si el plugin fue activado, con capacidad de acceso persistente, exfiltración de credenciales y creación de puertas traseras ocultas.
Resumen ejecutivo
| CVE | CVE-2026-111862 |
|---|---|
| Fabricante | RankMath |
| Producto | Rank Math SEO PRO |
| Fecha de publicación | 2026-10-19 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Si el sitio activó un paquete afectado, debe tratarse como comprometido. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-111862 corresponde a un compromiso en la cadena de suministro del plugin Rank Math SEO PRO, clasificado por el fabricante como un incidente de seguridad que afecta a un subconjunto específico de paquetes de la versión 3.0.123. No se trata de una vulnerabilidad clásica de inyección de código o escalada de privilegios en el código legítimo del plugin, sino de la distribución de archivos maliciosos a través del canal oficial de descarga y actualización del producto.
Según la información publicada por Rank Math, los paquetes afectados fueron descargados o actualizados en una ventana temporal concreta: entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC. Los archivos maliciosos incluidos en estos paquetes podían comprometer el sitio si el plugin se activaba. Es importante destacar que la versión 3.0.123 por sí sola no es suficiente para establecer que un sitio está comprometido; solo los paquetes obtenidos durante la ventana confirmada por el fabricante se consideran afectados.
El malware incorporado en los paquetes comprometidos presenta capacidades especialmente peligrosas:
- Acceso persistente: establece mecanismos que permiten al atacante mantener el control del sitio a lo largo del tiempo.
- Comunicación con servidor remoto: se comunica con el dominio
rank1cdn[.]com. - Recreación de puertas traseras ocultas: puede regenerar backdoors en cada visita a las páginas del sitio.
- Exfiltración de credenciales: expone credenciales de WordPress, credenciales de base de datos, claves API y otros secretos accesibles al servidor web.
La clasificación CWE asignada es CWE-506 (código malicioso incrustado), lo que refleja la naturaleza del incidente: el código dañino no es parte del funcionamiento legítimo del plugin, sino que fue inyectado durante el proceso de distribución.
Rank Math ha retirado los archivos afectados y ha publicado la versión 3.0.124 como reemplazo limpio. El fabricante también ha documentado indicadores de compromiso específicos que permiten a los administradores detectar si su sitio fue afectado, incluyendo claves maliciosas en la tabla wp_options, puertas traseras PHP ocultas, cuentas de administrador no autorizadas, un archivo falso del núcleo de WordPress, archivos .cache ejecutables en PHP y un marcador de cron del sistema.
La gravedad de este incidente radica en que el vector de ataque es la propia actualización legítima del plugin, lo que puede generar una falsa sensación de confianza en los administradores. La puntuación CVSS de 9.8 refleja el impacto potencial máximo: compromiso total de la confidencialidad, integridad y disponibilidad del sitio, sin necesidad de autenticación ni interacción del usuario.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, el producto afectado es Rank Math SEO PRO para WordPress, del fabricante RankMath. La versión identificada como afectada es la siguiente:
| Producto | Versión | Estado |
|---|---|---|
| Rank Math SEO PRO | 3.0.123 | Afectada |
Es importante matizar que, según el aviso oficial del fabricante recogido en las fuentes, no todos los paquetes de la versión 3.0.123 son maliciosos. La vulnerabilidad afecta únicamente a un subconjunto de paquetes descargados o actualizados entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC. La versión 3.0.123 por sí sola no es suficiente para determinar que un sitio está comprometido.
El fabricante ha publicado la versión 3.0.124 como reemplazo limpio que elimina los archivos afectados. No se han publicado otras versiones vulnerables en las fuentes consultadas.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada con una puntuación CVSS de 9.8 (CRITICAL) según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto podría explotar la vulnerabilidad sin necesidad de credenciales ni interacción del usuario, con un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
El compromiso de la cadena de suministro descrito en el contexto puede tener consecuencias graves para los sitios afectados:
- Acceso persistente: el malware puede establecer mecanismos de acceso remoto que permanezcan en el sistema incluso después de eliminar los archivos originales.
- Exfiltración de credenciales: se exponen credenciales de WordPress, credenciales de base de datos, claves API y otros secretos accesibles al servidor web.
- Comunicación con servidor externo: el malware puede comunicarse con el dominio
rank1cdn[.]com. - Recreación de backdoors: se han identificado backdoors ocultos que pueden recrearse en visitas a páginas, lo que dificulta su erradicación.
- Indicadores adicionales: el fabricante ha identificado tres claves maliciosas en
wp_options, backdoors PHP ocultos, cuentas de administrador no autorizadas, un archivo falso del núcleo de WordPress, archivos.cacheejecutables en PHP y un marcador de cron del sistema.
El fabricante recomienda que cualquier sitio que haya activado un paquete afectado sea tratado como completamente comprometido, lo que implica asumir que la integridad del sistema y los datos ha sido vulnerada.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) describen el incidente como un compromiso de la cadena de suministro en el que los archivos del plugin contenían malware. Sin embargo, no se publica información explícita sobre exploits públicos o ataques activos más allá de la distribución de los paquetes maliciosos durante la ventana de tiempo confirmada por el fabricante.
El contexto indica que el malware podía comprometer el sitio si el plugin se activaba, y que los indicadores de incidente incluyen backdoors y cuentas de administrador no autorizadas, lo que sugiere que la explotación podría haber ocurrido en sitios que activaron los paquetes afectados. No obstante, no se confirma explícitamente la existencia de exploits públicos o campañas de ataque masivas en las fuentes consultadas.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío, por lo que no se dispone de IOC publicados en el contexto analizado.
No deben inventarse indicadores adicionales. Para obtener IOC actualizados, se recomienda consultar el aviso oficial del fabricante en https://rankmath.com/kb/pro-3-0-123-security-incident/ y el análisis de Wordfence en https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f?source=cve.
No obstante, el contexto sí menciona de forma narrativa el dominio rank1cdn[.]com como destino de comunicación del malware, así como la presencia de archivos .cache ejecutables en PHP y claves maliciosas en wp_options, que pueden servir como señales de compromiso para la detección manual.
Cómo comprobar si estás afectado
La cadena de compromiso descrita por Rank Math afecta exclusivamente a los paquetes de la versión 3.0.123 descargados o actualizados entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC. Es importante subrayar que la versión 3.0.123 por sí sola no es suficiente para confirmar el compromiso; solo los paquetes obtenidos durante esa ventana temporal concreta se consideran afectados según el fabricante.
Para determinar si tu instalación puede estar comprometida, revisa los siguientes indicadores publicados por Rank Math en su aviso oficial:
- Claves maliciosas en
wp_options: el fabricante identifica tres claves específicas dewp_optionscomo indicadores del incidente. Revisa la tablawp_optionsde tu base de datos buscando claves inusuales o no reconocidas. - Backdoors PHP ocultos: busca archivos PHP sospechosos, especialmente en directorios de temas, plugins o subidas, que no formen parte de la instalación original.
- Cuentas de administrador no autorizadas: verifica todos los usuarios con rol de administrador en
wp_usersywp_usermeta. Comprueba si existe alguna cuenta que no hayas creado tú. - Archivo falso del núcleo de WordPress: Rank Math menciona la presencia de un archivo falso que imita al núcleo de WordPress. Compara los archivos del núcleo con una copia limpia de la misma versión.
- Archivos
.cacheejecutables en PHP: busca archivos con extensión.cacheque contengan código PHP ejecutable. - Marca de cron del sistema: el malware puede dejar una marca en el sistema de cron como indicador de persistencia.
Además, el malware podría comunicarse con el dominio rank1cdn[.]com. Si observas tráfico saliente hacia ese dominio desde tu servidor, es un indicador relevante de compromiso.
Importante: si activaste un paquete afectado, Rank Math recomienda tratar el sitio web como completamente comprometido, no solo como infectado.
Mitigación y actualización
Rank Math eliminó los archivos afectados y publicó la versión 3.0.124 como reemplazo limpio. Esta es la única versión corregida confirmada por el fabricante en el contexto analizado.
La acción principal es actualizar el plugin a la versión 3.0.124 desde el repositorio oficial o desde el panel de administración de WordPress. Sin embargo, si has confirmado o sospechas que activaste un paquete afectado, la actualización por sí sola no es suficiente. Debes tratar el sitio como comprometido y proceder con una limpieza exhaustiva.
El aviso oficial del fabricante, disponible en rankmath.com/kb/pro-3-0-123-security-incident/, es la fuente principal para obtener instrucciones detalladas de mitigación. Consulta también el registro de cambios para confirmar los detalles de la versión corregida.
Dado que el malware puede exponer credenciales de WordPress, credenciales de base de datos, claves de API y otros secretos accesibles al servidor web, cualquier credencial almacenada en el servidor debe considerarse potencialmente comprometida y rotarse.
Checklist para administradores
- ☐ Confirma si descargaste o actualizaste Rank Math SEO PRO 3.0.123 entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC.
- ☐ Si el paquete se obtuvo en esa ventana y el plugin se activó, trata el sitio como comprometido.
- ☐ Actualiza el plugin a la versión 3.0.124 desde el repositorio oficial.
- ☐ Busca las tres claves maliciosas en
wp_optionsy elimínalas si aparecen. - ☐ Busca y elimina archivos PHP ocultos que actúen como backdoors.
- ☐ Revisa todos los usuarios administradores y elimina cuentas no autorizadas.
- ☐ Verifica la integridad de los archivos del núcleo de WordPress y restaura cualquier archivo falso.
- ☐ Busca archivos
.cachecon contenido PHP ejecutable y elimínalos. - ☐ Comprueba si existe una marca de cron del sistema asociada al malware.
- ☐ Monitorea el tráfico saliente hacia
rank1cdn[.]com. - ☐ Rota todas las credenciales almacenadas en el servidor: WordPress, base de datos, API keys y cualquier otro secreto.
- ☐ Revisa los registros del servidor en busca de actividad sospechosa durante el período de exposición.
Preguntas frecuentes
¿Todas las instalaciones de Rank Math SEO PRO 3.0.123 están comprometidas?
No. Según el fabricante, solo los paquetes descargados o actualizados entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC se consideran afectados. La versión 3.0.123 por sí sola no es suficiente para confirmar el compromiso.
¿Qué puede hacer el malware en mi sitio?
El malware puede establecer acceso persistente, comunicarse con rank1cdn[.]com, recrear backdoors ocultos en visitas a páginas y exponer credenciales de WordPress, credenciales de base de datos, claves de API y otros secretos accesibles al servidor web.
¿Cómo sé si mi sitio tiene el malware?
Revisa los indicadores publicados por Rank Math: claves maliciosas en wp_options, backdoors PHP ocultos, cuentas de administrador no autorizadas, un archivo falso del núcleo de WordPress, archivos .cache ejecutables en PHP y una marca de cron del sistema. También puedes monitorizar tráfico hacia rank1cdn[.]com.
¿Actualizar a la versión 3.0.124 es suficiente para eliminar el malware?
No necesariamente. Si el paquete afectado se activó, el sitio debe tratarse como comprometido. La actualización elimina los archivos maliciosos del plugin, pero el malware puede haber dejado backdoors, cuentas de administrador o modificaciones en otros lugares del sitio. Es necesaria una limpieza completa.
¿Qué debo hacer con las credenciales almacenadas en el servidor?
Debes rotarlas todas. El malware puede exponer credenciales de WordPress, credenciales de base de datos, claves de API y otros secretos accesibles al servidor web. Asume que cualquier secreto almacenado en el servidor puede estar comprometido.
¿Dónde puedo encontrar más información oficial?
Consulta el aviso oficial de Rank Math en rankmath.com/kb/pro-3-0-123-security-incident/ y el registro de cambios en rankmath.com/changelog/. También puedes revisar la entrada de Wordfence en wordfence.com.