Rank Math confirmó que versiones del plugin de pago Rank Math PRO descargadas desde rankmath.com o entregadas mediante actualización entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre incluían código malicioso. Según el aviso publicado por la compañía, cualquier sitio que instaló y activó una de esas copias debe considerarse comprometido, porque el malware incorpora un backdoor que puede recrearse cuando alguien visita la web.
Qué cambia y a quién afecta
La afectación se limita al paquete PRO que Rank Math distribuye desde su propio dominio; la versión gratuita disponible en el repositorio oficial de WordPress no está señalada en el aviso. Rank Math eliminó los ficheros comprometidos y lanzó una copia limpia —identificada por la compañía— para substituir el plugin en instalaciones afectadas.
Qué debe hacer el administrador o dueño de la web
- Restaurar desde una copia de seguridad limpia: la recomendación preferente de Rank Math es restaurar el sitio y la base de datos a un punto anterior a las 20:02 UTC del 15 de octubre, si existe. Tras la restauración hay que ejecutar un análisis de seguridad y cambiar todas las credenciales antes de reinstalar la versión limpia del plugin desde la cuenta en rankmath.com.
- Si no hay copia previa, seguir la limpieza manual en el orden indicado: Rank Math y los asesores de seguridad insisten en un procedimiento con pasos fijos antes de eliminar ficheros; borrar elementos sin seguir el orden puede permitir que el backdoor se regenere.
- Cambiar todas las credenciales y claves: esto incluye contraseñas de usuarios administradores, el usuario y contraseña de la base de datos en wp-config.php, las claves y salts de seguridad del mismo archivo, claves de API (pasarelas de pago, SMTP), accesos al panel de hosting, FTP/SFTP/SSH y cualquier secreto almacenado en variables de entorno. También recomiendan restablecer la autenticación en dos factores para cuentas administrativas.
- Buscar signos de compromiso adicionales: el malware puede dejar archivos PHP backdoor en otras carpetas (plugins, temas, must-use), crear cuentas de administrador falsificadas, añadir archivos modificados del núcleo de WordPress, alterar .htaccess para ejecutar archivos .cache como PHP, crear tareas programadas o instalar claves SSH.
- Verificación final: ejecutar escaneos de seguridad y las comprobaciones de integridad disponibles (por ejemplo, verificar sumas de archivos del núcleo y de plugins cuando existan). Para plugins premium que no publican checksums, la verificación podrá ser limitada.
Limitaciones y dudas abiertas
Los avisos públicos de Rank Math y de los firmantes de análisis disponibles no incluyen un análisis detallado del código malicioso ni atribuyen la intrusión a un actor concreto. Tampoco se han publicado los hashes de los paquetes comprometidos, ni la compañía ha explicado cómo se introdujeron los ficheros maliciosos en su sistema de descargas y actualizaciones, cuántos clientes resultaron afectados o si las actualizaciones automáticas entregaron las copias contaminadas.
Rank Math ha contactado por correo a algunos clientes y aconseja a cualquier usuario que dude sobre si instaló o activó los archivos a ponerse en contacto con su soporte. Además, advierte que nunca enviará enlaces de descarga o acceso por correo electrónico.
Recomendaciones prácticas
- Compruebe si su sitio instaló Rank Math PRO en el intervalo indicado y, si fue así, trate la instalación como comprometida hasta confirmar lo contrario.
- Priorice la restauración desde una copia anterior si existe; de no ser posible, siga el checklist de limpieza y cambie todas las credenciales.
- Revise logs, tareas programadas y directorios de plugins y temas en busca de ficheros PHP sospechosos.
- Considere la posibilidad de auditar accesos al servidor (SSH/FTP) y claves añadidas recientemente.
Nota: esta noticia resume el aviso de seguridad publicado por Rank Math y el asesoramiento de empresas de seguridad. No incluye análisis forense propio ni atribuciones sobre los autores del ataque.
Lee también:
- Compromiso de TeamUpdraft expone claves de conexión y permite instalar plugins maliciosos en WordPress
- Feature Notifications vuelve tras tres años y busca un MVP funcional para diciembre
Fuente: The Hacker News
