El popular plugin de optimización para motores de búsqueda (SEO) para blogs de WordPress, Rank Math PRO, sufrió una brecha de seguridad a través de un ataque a la cadena de suministro (Supply Chain Attack), lo que resultó en la distribución de paquetes de software que contenían código malicioso que permite el control total de los sitios donde se activó el plugin.
La entidad desarrolladora aclaró que las versiones afectadas se limitaron a la versión número 3.0.123, la cual fue descargada o actualizada durante una ventana de tiempo específica que comenzó el 15 de octubre de 2026 a las 20:02 UTC y se extendió hasta el 16 de octubre de 2026 a las 07:12 UTC.
Naturaleza de los riesgos e impactos de seguridad
El software malicioso inyectado expone a los sitios infectados a riesgos graves, permitiendo a los atacantes:
- Obtener privilegios de acceso permanentes y continuos al sitio objetivo.
- Extraer credenciales, claves de interfaces de programación de aplicaciones (API Keys) y otra información sensible.
- Crear una puerta trasera (Backdoor) oculta con cada nueva visita a las páginas del sitio.
- Modificar archivos del núcleo de WordPress y archivos .htaccess, además de manipular tareas programadas y archivos de caché.
Medidas de remediación y recuperación requeridas
La empresa desarrolladora se apresuró a eliminar los archivos contaminados y lanzar una versión limpia con el número 3.0.124. Sin embargo, instó a todos los usuarios que instalaron o activaron la versión 3.0.123 durante la ventana de infección a tratar sus sitios como completamente comprometidos.
La empresa recomendó los siguientes pasos para limpiar los sitios:
- Restaurar el sitio completamente desde una copia de seguridad limpia creada antes de que ocurriera el incidente.
- En caso de no poder restaurar, se debe eliminar la carpeta del plugin permanentemente, borrar los registros maliciosos de la base de datos y bloquear el dominio de los atacantes rank1cdn[.]com.
- Buscar y eliminar archivos PHP sospechosos, además de monitorear cualquier cuenta administrativa desconocida o modificaciones fuera del ámbito de la instalación de WordPress, como archivos SSH y otras rutas del sistema.
- Cambiar todas las contraseñas después de verificar completamente la limpieza del sitio y reinstalar la versión segura del plugin.