Si administras un sitio en WordPress con Rank Math PRO, revisa qué versión tenías el 15 y el 16 de octubre. La versión 3.0.123 se distribuyó con malware durante unas 11 horas, según el aviso de seguridad de la propia empresa.
Rank Math es un plugin de optimización para buscadores (SEO) muy usado en sitios, tiendas en línea y blogs. El paquete con código malicioso estuvo disponible desde las 15:02 del 15 de octubre hasta las 02:12 del 16, hora de Colombia. En horario UTC, la ventana fue de las 20:02 a las 07:12.
En su aviso, Rank Math dice que los archivos afectados "contenían malware que podía comprometer tu sitio web si el plugin estaba activado" y que el problema alcanzó a "un número limitado de usuarios". Son traducciones de El Centavo. La empresa no publicó una cifra. Tampoco hay datos sobre sitios colombianos afectados.
Según Rank Math, el código malicioso puede dar el control del sitio y mantener un acceso oculto. También puede exponer contraseñas y claves de API, y modificar otros plugins y temas. El código se comunica con el dominio rank1cdn.com, que la empresa recomienda bloquear.
La firma de seguridad Wordfence registró la falla como CVE-2026-111862, con 9,8 sobre 10 de puntuación, es decir, crítica. Un CVE es el código con el que se identifican las vulnerabilidades conocidas.
La empresa retiró los archivos afectados y publicó una versión limpia. "Retiramos de inmediato los archivos afectados y publicamos una versión limpia, Rank Math PRO v3.0.124", dijo la compañía, según SecurityWeek. Es una traducción de El Centavo.
El riesgo depende de si el plugin se instaló y además se activó. Si solo se instaló sin activar, Rank Math pide eliminar los archivos, instalar la 3.0.124 y escanear el sitio. Actualizar a la versión limpia no basta en un sitio que ya fue comprometido.
Si el plugin estuvo activo, la empresa recomienda restaurar el sitio y la base de datos. La copia debe ser anterior a las 15:02 del 15 de octubre, hora de Colombia. Después hay que escanear el sitio y cambiar todas las contraseñas y claves. Por último, se instala la versión 3.0.124.
Si no tienes una copia de seguridad, hace falta una limpieza manual. Implica borrar la carpeta del plugin y buscar administradores desconocidos y archivos sospechosos. También se cambian las credenciales de la base de datos y del hosting. Es un trabajo técnico, así que pide ayuda a quien administra tu sitio o a tu proveedor de hosting.
La versión gratuita de Rank Math, que se descarga desde WordPress.org, no resultó afectada. El plugin PRO se descarga desde el sitio de la empresa, y de ahí salió el paquete malicioso. Rank Math también aclara que nunca envía por correo enlaces de inicio de sesión ni de descarga.
Si no usas Rank Math PRO, este caso no te afecta. Si lo usas, el aviso completo con los pasos está en la página de seguridad de la empresa.
Fuentes: Rank Math, SecurityWeek, SecurityOnline, The Hacker News.
