Comprometen Rank Math PRO para instalar puertas traseras en sitios WordPress

El 19 de octubre de 2026, Rank Math informó de que algunas descargas de Rank Math PRO v3.0.123 realizadas desde su web oficial fueron manipuladas en un ataque de cadena de suministro. Los archivos comprometidos podían poner en riesgo los sitios WordPress al activar el plugin.

La ventana afectada se extendió entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC. Rank Math retiró los archivos maliciosos y publicó la versión limpia Rank Math PRO v3.0.124. La variante gratuita Rank Math SEO, disponible en WordPress.org, no resultó afectada.

Según el aviso del proveedor, el malware establece acceso persistente, se comunica con el dominio rank1cdn[.]com y puede recrear puertas traseras ocultas cuando alguien visita el sitio infectado. La instalación de la versión troyanizada también pudo exponer credenciales de bases de datos, claves API y otros secretos accesibles para el servidor web.

Durante su investigación, BleepingComputer identificó en VirusTotal una muestra PHP denominada ‘cache-preloader-fff033 (1).php’, aparentemente relacionada con el incidente. El código contiene indicadores asociados al ataque, crea cuentas de administrador con el prefijo ‘wpsupport_’ y puede ejecutar comandos, modificar bases de datos de WordPress y extraer credenciales de AWS, Cloudflare, Google Cloud y Azure, además de claves SSH. El medio no pudo confirmar si esta muestra se distribuyó mediante el plugin comprometido.

Los administradores que activaron la versión afectada deben considerar comprometidos sus sitios, restaurar los archivos y la base de datos desde copias limpias, realizar análisis de seguridad y rotar contraseñas, claves y salts. Rank Math advierte de que desactivar o actualizar el plugin no elimina la amenaza: la limpieza puede requerir borrar toda la carpeta del plugin y las entradas maliciosas de la base de datos, además de revisar puertas traseras, cuentas no autorizadas, archivos modificados y tareas programadas.

Quienes descargaron el plugin pero no lo activaron deben eliminarlo, instalar Rank Math PRO v3.0.124 y analizar el sitio. El proveedor también recomienda bloquear las conexiones salientes hacia rank1cdn[.]com. La información ha sido publicada por BleepingComputer: https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/.

Fuente: BleepingComputer