Rank Math SEO PRO 3.0.123: compromiso de cadena de suministro crítico

Qué es y a quién afectaEl identificador CVE-2026-111862 describe un compromiso de cadena de suministro en el plugin Rank Math SEO PRO para WordPress....

Qué es y a quién afecta

El identificador CVE-2026-111862 describe un compromiso de cadena de suministro en el plugin Rank Math SEO PRO para WordPress. No se trata de un fallo de programación al uso, sino de código malicioso inyectado en un subconjunto de paquetes de la versión 3.0.123 que se descargaron o actualizaron entre el 15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC.

El fabricante, Rank Math, ha confirmado esa ventana temporal como la única afectada. Conviene subrayarlo: tener instalada la versión 3.0.123 no basta para determinar que un sitio esté comprometido; lo relevante es si el paquete se obtuvo dentro de ese intervalo. La gravedad asignada es CVSS 3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, y el tipo de fallo se clasifica como CWE-506 (contenido malicioso incrustado). La entrada se publicó en la NVD del NIST el 19 de octubre de 2026.

Afecta a cualquier web WordPress que use Rank Math SEO PRO y haya actualizado o instalado el plugin en esa franja, algo especialmente sensible en pymes, comercios online y proyectos con un equipo de IT reducido, donde las actualizaciones se lanzan sin revisar el origen ni la hora exacta del paquete.

Por qué es urgente

Según la información publicada, el propio fabricante indica que los archivos afectados contenían malware capaz de comprometer el sitio si el plugin se activaba, y pide a los sitios que activaron un paquete afectado que traten la web directamente como comprometida. El alcance del daño no es menor: el código podía establecer acceso persistente, comunicarse con el dominio rank1cdn[.]com, recrear puertas traseras ocultas en cada visita a la página y exponer credenciales de WordPress, credenciales de base de datos, claves de API y otros secretos accesibles al servidor web.

Rank Math enumera una serie de indicadores de incidente que conviene conocer: tres claves maliciosas en wp_options, puertas traseras PHP ocultas, cuentas de administrador no autorizadas, un archivo falso del núcleo de WordPress, archivos .cache ejecutables como PHP y una marca en el cron del sistema. El fabricante eliminó los archivos afectados y publicó la versión 3.0.124 como reemplazo limpio.

Un matiz importante para calibrar el riesgo: este CVE no consta en el catálogo KEV de CISA, es decir, no hay constancia pública de que se esté explotando de forma masiva. Eso no lo hace menos grave. Un backdoor con acceso persistente y robo de credenciales puede permanecer meses sin dar señales, y en un comercio online eso significa datos de clientes, pedidos y pagos bajo la responsabilidad del RGPD y la LOPDGDD.

Qué hacer hoy

Comprueba si usas el producto y en qué versión. Revisa en el panel de WordPress la versión instalada de Rank Math SEO PRO y, sobre todo, la fecha y hora en que se aplicó la última actualización. Si el paquete se descargó fuera de la ventana del 15 al 16 de octubre de 2026, no estaría afectado por este incidente concreto.
Actualiza a la versión 3.0.124, el reemplazo limpio publicado por el fabricante, y sigue lo que indique su aviso de seguridad oficial. No des por hecho que reinstalar la misma 3.0.123 resuelve nada.
Trata la web como comprometida si activaste un paquete afectado. Busca los indicadores que cita Rank Math: claves sospechosas en wp_options, cuentas de administrador que no reconozcas, archivos .cache ejecutables, un archivo falso del núcleo o marcas en el cron del sistema.
Rota credenciales: contraseñas de WordPress, de la base de datos y claves de API que estuvieran accesibles al servidor web. Cambiar la contraseña sin revisar antes los backdoors suele ser inútil, porque el atacante vuelve a entrar.
Reduce lo expuesto a internet: limita el acceso a wp-admin, revisa usuarios con permisos altos y comprueba si hay conexiones salientes hacia rank1cdn[.]com en los registros del servidor.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Este tipo de incidentes se detecta y se cierra con método, no con suerte. En ALMC trabajamos con pymes y comercios online que tienen WordPress, PrestaShop o Joomla y un equipo de IT pequeño, y sabemos que la diferencia entre un susto y una brecha está en revisar a tiempo. Una auditoría de seguridad y un pentesting permiten localizar puertas traseras, cuentas creadas por terceros y archivos fuera de sitio antes de que se conviertan en un problema mayor.

El hardening de servidores y la monitorización continua ayudan a que un plugin comprometido no tenga margen para comunicarse con el exterior ni para recrear backdoors en cada visita. Y cuando la web ya ha sido hackeada, la respuesta a incidentes se centra en limpiar, cerrar la vía de entrada y dejar el sitio en condiciones, sin olvidar el mantenimiento y la actualización controlada de WordPress, PrestaShop y Joomla: aplicar parches de seguridad a ciegas, sin comprobar el origen y la fecha del paquete, es precisamente lo que abre la puerta a un compromiso de cadena de suministro como este.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.