El malware de Rank Math PRO es de esos titulares que lo llevan a la pantalla de Extensiones (Plugins) tarde en la noche, entrecerrando los ojos ante un número de versión y preguntándose qué significa para su sitio. La respuesta depende de tres cosas que puede revisar en unos diez minutos: qué copia tiene, cuándo la obtuvo y si la activó.
Rank Math dice que un número limitado de descargas de PRO v3.0.123 contenían malware entre el 15 de octubre de 2026, a las 20:02 UTC, y el 16 de octubre de 2026, a las 07:12 UTC. Si activó una copia de esa ventana, trate el sitio como comprometido y comience la recuperación esta noche. Si no la activó, sus pasos serán mucho más pequeños.
Sus contraseñas también deben ser parte del plan, porque las credenciales a las que el sitio puede acceder deben reemplazarse después de una copia activada. El orden importa, ya que una actualización rápida puede parecer una solución mientras deja abierta una vía de regreso.
Puntos clave
Trate el sitio como comprometido. El aviso de Rank Math dice que los archivos afectados pueden comprometer su sitio web si el plugin se activó.
Solo algunas descargas de v3.0.123 entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC contenían malware, así que la hora de descarga y el estado de activación deciden su siguiente paso.
Rank Math recomienda restaurar desde una copia de seguridad hecha antes de la ventana cuando sea posible, escanear el sitio, reinstalar desde fuentes confiables y después instalar v3.0.124.
Reemplace las credenciales de WordPress, de la base de datos, de hosting, de FTP, SFTP, SSH, de API, de pagos y de correo electrónico, además de las salts y de la configuración de la verificación en dos pasos.
Descubra en diez minutos si su copia es una de las riesgosas
Abra directamente su panel de WordPress, no a través de una herramienta de administración remota, y vaya a Extensiones. Busque Rank Math PRO y anote la versión, si está activo y la fecha de la última actualización. WordPress explica esta pantalla en su documentación sobre la pantalla de Extensiones.
Luego abra la pantalla de Usuarios y busque administradores que usted no agregó. Si recibió un correo electrónico sobre el incidente de Rank Math, téngalo a la mano. No active, pruebe ni reinstale una copia sospechosa solo para ver qué hace.
Su panel de hosting o su herramienta de copias de seguridad puede mostrar las horas en su propia zona horaria, así que convierta a UTC antes de comparar cualquier cosa con la ventana.
| Su situación | Qué significa | Qué hacer |
|---|---|---|
| Instaló y activó una copia PRO v3.0.123 de la ventana | Trate el sitio como comprometido | Siga el orden de recuperación de las secciones siguientes |
| La instaló pero nunca la activó | Sin señal de compromiso por la activación, pero los archivos siguen en su servidor | Elimine los archivos, instale v3.0.124 desde su cuenta de Rank Math y después revise el sitio |
| Descargó la copia pero nunca la instaló ni la activó | Sin señal de compromiso por este incidente solamente | Elimine la descarga y obtenga v3.0.124 desde su cuenta |
| La versión 3.0.123 aparece, pero la actualización llegó fuera de la ventana | El número de versión por sí solo no establece un compromiso | Confirme la hora y, si tiene dudas, siga los pasos de copia activada |
| Plugin gratuito Rank Math SEO de WordPress.org | No se menciona como afectado | Ninguna acción por este incidente |
Los detalles provienen del aviso de incidente de Rank Math y del aviso de Wordfence. Wordfence clasifica el problema como CVE-2026-111862, código malicioso incrustado sin autenticación, con una calificación de 9.8 en la escala de severidad CVSS. Patchstack y el aviso de GitHub contienen registros que coinciden.
El incidente, en UTC
- 1
15 de octubre de 2026, 20:02
Se abre la ventana de descarga afectada de Rank Math PRO v3.0.123.
- 2
16 de octubre de 2026, 07:12
Se cierra la ventana.
- 3
16 de octubre de 2026
Rank Math elimina los paquetes maliciosos y publica la versión limpia v3.0.124.
Recupere un sitio limpio restaurando desde antes de la ventana
Si su copia se activó, la mejor vía es una restauración. Rank Math recomienda restaurar tanto los archivos como la base de datos desde una copia de seguridad hecha antes del 15 de octubre de 2026, a las 20:02 UTC. Revise la fecha de esa copia antes de confiar en ella, porque una copia tomada durante la ventana o después de ella puede arrastrar el problema.
Después de la restauración, escanee el sitio. Reinstale los plugins y los temas desde fuentes confiables, en lugar de reutilizar copias que ya están en el servidor. Solo entonces instale Rank Math PRO v3.0.124, descargado desde su propia cuenta de Rank Math.
Ese orden es intencional. Instalar la versión corregida en un sitio que sigue comprometido reemplaza el paquete del plugin, pero puede que no elimine las cuentas ni las tareas programadas que la copia anterior ya creó.
Cierre la vía de regreso cuando no tenga una copia limpia
Sin una copia de seguridad utilizable, el trabajo es manual y el orden importa. Rank Math recomienda empezar por eliminar toda la carpeta `rank-math-pro`, quitar las tres entradas maliciosas señaladas en `wp_options` y bloquear las conexiones salientes a `rank1cdn.com` si su proveedor de hosting se lo permite. Los nombres exactos de las entradas aparecen en el aviso de Rank Math, así que cópielos de ahí y no de memoria.
Una vez hecho eso, busque más a fondo. Revise sus archivos, usuarios, tareas cron, accesos al servidor y cargas. Los administradores que no reconoce, las tareas programadas que usted no creó y los archivos inesperados en la carpeta de cargas merecen una revisión cuidadosa.
Un escaneo limpio no demuestra que el sitio esté limpio, y eliminar un solo archivo no cierra el asunto. Si no se siente cómodo en la base de datos o en el servidor, este es el momento de pedir ayuda. El análisis de Wordfence enumera los indicadores técnicos.
Para las primeras horas después de cualquier hackeo, nuestra guía sobre qué hacer en las primeras 24 horas después de que un sitio web sea hackeado cubre los pasos que aplican a cualquier incidente.
Recupere sus llaves reemplazando cada contraseña a la que el sitio podía acceder
Rank Math dice que deben reemplazarse las credenciales accesibles para el sitio. Hágalo después de que el sitio esté limpio, o desde un dispositivo y una red en los que confíe, para que una contraseña nueva no quede entregada de inmediato a algo que todavía se ejecuta en el servidor.
Cambiar solo la contraseña de administrador de WordPress no basta. Todo lo que esté guardado en el sitio, o al que se pueda llegar desde él, debe estar en la lista.
| Cambie esto | Dónde suele estar |
|---|---|
| Contraseñas de administrador y de usuarios de WordPress | La pantalla de Usuarios |
| Contraseña de la base de datos | Su panel de hosting, después wp-config.php |
| Contraseña de la cuenta de hosting | Su proveedor de hosting |
| Credenciales de FTP, SFTP y SSH | Su panel de hosting o el servidor |
| Claves de API | Cualquier servicio conectado al sitio |
| Credenciales de la pasarela de pagos | Su proveedor de pagos |
| Contraseñas de cuentas de correo electrónico | Su proveedor de correo o su panel de hosting |
| Salts de WordPress | wp-config.php |
| Configuración de la verificación en dos pasos | Cada cuenta que la use |
Cambiar las salts cierra la sesión de todos los que están conectados en este momento, que es el efecto previsto. Restablezca la verificación en dos pasos en las cuentas que la tenían y luego inicie sesión de nuevo desde un dispositivo en el que confíe.
Si el sitio guarda información de clientes o de pagos, nuestro artículo sobre cómo avisar a los clientes de una filtración de datos en una tienda en línea explica qué sigue.
Mantenga separado este caso del incidente de UpdraftPlus y del plugin gratuito de Rank Math
Es posible que haya visto otra historia de seguridad de WordPress esta semana. En el incidente de UpdraftPlus y UpdraftCentral, el problema fueron las claves de conexión de UpdraftCentral que se robaron; aquí, el malware estaba dentro de algunas descargas de Rank Math PRO. Los pasos de limpieza son distintos, así que siga el aviso de cada incidente por separado.
El plugin gratuito Rank Math SEO de WordPress.org no aparece como afectado. Si usa solo la versión gratuita, este incidente no requiere ninguna acción. Si no está seguro de cuál tiene, busque Rank Math PRO por su nombre en la pantalla de Extensiones.
Los sitios que nunca descargaron PRO v3.0.123 durante la ventana quedan fuera de este incidente. Aun así, sus hábitos normales con los plugins siguen valiendo.
Reduzca las probabilidades de una repetición con algunos hábitos para cada plugin de pago
Este caso muestra que el propio canal de descarga de un proveedor puede ser la puerta de entrada, y vale la pena planear con eso en mente. Rank Math eliminó los paquetes malos y publicó v3.0.124 el 16 de octubre. Algunos hábitos limitan el daño de cualquier plugin, de cualquier proveedor.
- Descargue solo desde la cuenta del proveedor: o desde otra fuente que el proveedor indique. Evite los archivos ZIP no oficiales, las copias redistribuidas y los enlaces de descarga en correos no solicitados.
- Mantenga una copia de seguridad probada antes de cada actualización: Una copia que nunca ha restaurado es una suposición. WordPress cubre lo básico en su guía de copias de seguridad.
- Elimine los plugins que no usa: Un plugin desactivado sigue en su servidor. La guía de endurecimiento de WordPress dice que hay que mantener los plugins actualizados, eliminar los que no se usan y conservar copias de seguridad confiables.
- Decida cómo le llegan las actualizaciones: WordPress permite actualizaciones automáticas plugin por plugin. Actívelas según la confirmación del proveedor y su plan de reversión.
Si mantenerse al día con esto le resulta una carga, un plan de mantenimiento de sitios web se encarga de las copias de seguridad probadas, la gestión de actualizaciones y el monitoreo, según un calendario. Nuestra guía sobre cómo revisar los plugins de WordPress en busca de actualizaciones urgentes de seguridad y el artículo sobre qué significa una alerta de vulnerabilidad de plugin cubren la versión cotidiana de esta rutina.
Sepa cuándo la revisión propia no basta y debe intervenir un profesional
La revisión de diez minutos le dice si su sitio cae dentro de este incidente. No demuestra que un sitio comprometido quede limpio después. Algunas situaciones piden más manos expertas.
- Activó una copia afectada durante la ventana.
- No está seguro de la fecha de la copia de seguridad.
- El sitio guarda datos de pago o de clientes.
- Tiene acceso limitado al servidor.
- Los archivos o cuentas sospechosos regresan después de la limpieza.
Una revisión adecuada conserva la evidencia, elimina los mecanismos que mantienen el acceso en el orden correcto, restaura los archivos de confianza, reemplaza las credenciales conectadas y confirma el resultado. Es una investigación proporcional a lo que muestra la evidencia, no una reconstrucción automática. Si su copia nunca se ejecutó, puede que haya terminado después de las revisiones y del cambio a v3.0.124.
Si le preocupa el costo de una limpieza, nuestro artículo sobre costo de eliminar malware de un sitio web explica qué determina el precio.
¿Está su sitio con Rank Math PRO fuera de peligro?
Elija una respuesta para empezar.
1. Instaló Rank Math PRO v3.0.123 el 16 de octubre a las 03:00 UTC y lo activó. ¿Cuál es el movimiento correcto?
2. Descargó un ZIP de v3.0.123 durante la ventana, pero nunca lo instaló. ¿Qué exige este incidente?
3. ¿Por qué actualizar a v3.0.124 por sí solo no basta después de una copia activada?
Preguntas frecuentes sobre el malware de Rank Math PRO
¿Se vio afectado el plugin gratuito Rank Math SEO?
No. Rank Math dice que el incidente se refiere a Rank Math PRO, y el plugin gratuito Rank Math SEO de WordPress.org no aparece como afectado.
¿La versión 3.0.123 significa que mi sitio fue hackeado?
No, no por sí sola. Solo algunas descargas de v3.0.123 entre el 15 de octubre de 2026, a las 20:02 UTC, y el 16 de octubre de 2026, a las 07:12 UTC, contenían malware. Revise la hora de descarga y si la copia se activó.
¿Qué hago si activé una copia afectada?
Trate el sitio como comprometido. Restaure los archivos y la base de datos desde una copia de seguridad hecha antes de la ventana, escanee, reinstale plugins y temas desde fuentes confiables y luego instale v3.0.124.
¿Basta con actualizar a Rank Math PRO 3.0.124?
No. La actualización reemplaza el paquete, pero puede que no elimine las puertas traseras, las cuentas ni las tareas programadas que una copia activada ya creó.
¿Qué hago primero si no tengo una copia de seguridad limpia?
Elimine la carpeta completa `rank-math-pro`, quite las tres entradas `wp_options` señaladas y bloquee las conexiones salientes a `rank1cdn.com` si es posible. Después revise archivos, usuarios, tareas cron, accesos al servidor y cargas.
¿Qué contraseñas debo cambiar?
Las de WordPress, base de datos, hosting, FTP, SFTP, SSH, API, pagos y correo electrónico, además de las salts y la configuración de la verificación en dos pasos. Hágalo cuando el sitio esté limpio o desde un dispositivo en el que confíe.
Para seguir adelante
Ahora sabe qué copia decide su siguiente paso. Una descarga activada de v3.0.123 de la ventana del 15 al 16 de octubre significa recuperación: restaure desde una copia de seguridad hecha antes de la ventana, escanee, reinstale desde fuentes confiables, instale v3.0.124 y reemplace las credenciales a las que el sitio podía acceder. Una copia que nunca se ejecutó necesita un cambio y un escaneo, y el plugin gratuito Rank Math SEO no necesita nada por este incidente.
Hacerlo en orden es lo que lo protege. Una restauración limpia, contraseñas cambiadas y una copia de seguridad probada significan que el próximo aviso sobre un plugin se puede atender en una tarde en lugar de un fin de semana. Si alguna vez quiere un sitio sin directorio de plugins que parchear, un proyecto de diseño web hecho a mano elimina este tipo de exposición en la cadena de suministro de plugins, aunque el hosting y los servicios de terceros siguen necesitando cuidado, así que reduce el riesgo en lugar de eliminarlo.
Si su copia se activó, la fecha de su copia de seguridad no está clara o el sitio guarda datos de clientes, Web Leveling puede realizar una auditoría de seguridad del sitio web que revise archivos, usuarios, tareas programadas y credenciales en el orden correcto. Trabajamos con pequeñas y medianas empresas en todo el país y en el extranjero. Díganos qué copia de Rank Math PRO tiene y cuándo la obtuvo, y le diremos cuál es el siguiente paso.
Términos
Palabras usadas en esta publicación
Toque un término para ver qué significa.
Rank Math PRO. La versión de pago del plugin Rank Math SEO para WordPress, descargada desde la cuenta del proveedor.
Activado. Un plugin que está encendido y en funcionamiento, a diferencia de uno instalado pero inactivo.
UTC. Tiempo Universal Coordinado, el reloj único en el que se expresa la ventana del incidente.
wp_options. Una tabla de la base de datos de WordPress que guarda la configuración del sitio, incluidas las entradas que agregan los plugins.
Tarea cron. Una tarea programada que se ejecuta en el sitio o en el servidor sin que nadie haga clic en nada.
Salts. Cadenas aleatorias en wp-config.php que protegen las sesiones de inicio de sesión; al cambiarlas, se cierra la sesión de todos.
Ataque a la cadena de suministro. Un compromiso que llega a un sitio a través de un software en el que confía, como la descarga de un proveedor.
