---
title: "Rank Math PRO 3.0.123: cómo detectar y limpiar el ataque a sus paquetes oficiales"
url: "https://helloblog.io/es/rank-math-pro-3-0-123-ataque-paquetes-oficiales-limpieza/"
date: "2026-10-17"
modified: "2026-10-17"
author: "Laura Fernández"
language: "es_ES"
categories: ["Seguridad"]
tags: ["cadena de suministro", "malware", "Rank Math", "WordPress", "WP-CLI"]
featured_image: "https://helloblog.io/app/uploads/sites/5/2026/10/featured-1024x576.webp"
excerpt: "Algunos paquetes oficiales de Rank Math PRO 3.0.123 incluían malware. Comprueba si descargaste uno de ellos y sigue el orden correcto para recuperar el sitio: actualizar el plugin no basta."
---

# Rank Math PRO 3.0.123: cómo detectar y limpiar el ataque a sus paquetes oficiales

Algunos paquetes de **Rank Math PRO 3.0.123**, distribuidos mediante los canales oficiales de descarga y actualización, contenían malware. Si activaste una de esas copias, debes tratar el sitio como comprometido: instalar la versión limpia sustituye los archivos del plugin, pero no elimina las puertas traseras, las cuentas ni las tareas que el malware haya creado en otros lugares.

El incidente afecta a paquetes obtenidos entre el **15 de octubre de 2026 a las 20:02 UTC y el 16 de octubre de 2026 a las 07:12 UTC**, una ventana de unas once horas. Rank Math retiró los archivos afectados y publicó **Rank Math PRO 3.0.124**, una versión limpia.

## Qué ocurrió y qué alcance tiene

El malware llegó dentro del paquete oficial del plugin: se trata de un **ataque a la cadena de suministro**, no de un fallo de código que permita explotar una instalación limpia. El aviso se refiere al complemento PRO; no señala al plugin gratuito de Rank Math como afectado.

El registro **CVE-2026-111862** identifica este incidente y le asigna un **9,8, crítico**, en el Sistema de Puntuación de Vulnerabilidades Comunes, conocido como CVSS. El identificador del plugin que recoge el registro es `seo-by-rank-math-pro`. Rank Math no ha publicado cómo se manipularon los paquetes, y no hay datos que permitan atribuir el ataque ni fijar un número de víctimas.

El código malicioso se ejecuta al activar el plugin, puede mantener acceso persistente y se comunica con `rank1cdn[.]com`. También puede reconstruir puertas traseras ocultas cuando alguien visita una página del sitio. Por eso, borrar un archivo aislado o desactivar el plugin no resuelve necesariamente el problema.

Debes considerar expuestas las credenciales de WordPress, las de la base de datos, las claves de la interfaz de programación de aplicaciones o API y cualquier otro secreto que pueda leer el usuario del servidor web. El alcance no se limita a los ajustes de Rank Math ni a su carpeta.

#### Actualizar no equivale a limpiar

La versión 3.0.124 reemplaza el paquete de Rank Math PRO. No elimina por sí sola los archivos, las cuentas de administrador ni las tareas programadas que el malware haya dejado fuera del plugin.

## Cómo saber si tu sitio está afectado

Abre **Plugins** en el escritorio de WordPress y comprueba la versión instalada de Rank Math PRO. Después, contrasta cuándo obtuviste el paquete y si llegaste a activarlo: **ver 3.0.123 no demuestra por sí solo que haya una infección**.

La ventana afectada equivale al **15 de octubre a las 22:02 CEST hasta el 16 de octubre a las 09:12 CEST**, horario de verano de Europa central. Solo una parte de los paquetes de la versión 3.0.123 está afectada: los obtenidos durante ese intervalo.

1. **Obtuviste una copia afectada, la instalaste y la activaste:** trata el sitio como comprometido y sigue una de las dos vías de recuperación que se detallan más abajo.
2. **Instalaste la copia afectada, pero nunca la activaste:** elimina sus archivos, instala la versión limpia 3.0.124 desde tu cuenta de Rank Math y ejecuta un análisis de seguridad por precaución.
3. **Descargaste la copia, pero no la instalaste ni la activaste:** este incidente, por sí solo, no indica que el sitio esté comprometido. No uses ese paquete; si no puedes confirmar si llegó a instalarse o activarse, consulta con el soporte de Rank Math.

Rank Math conserva registros de las cuentas que descargaron las copias afectadas y avisa a esos usuarios. Si has recibido ese aviso, aplica las medidas que correspondan aunque ahora tengas otra versión instalada. La versión actual no permite descartar lo que ocurrió antes.

### Comprobaciones rápidas con WP-CLI

**WP-CLI**, la herramienta que permite administrar WordPress desde la línea de comandos, ayuda a revisar la versión, las cuentas y varios indicadores del ataque. Estos comandos sirven para una primera inspección, no para certificar que el sitio esté limpio ni para sustituir los pasos de recuperación.

```
# Ejecuta los comandos desde el directorio de WordPress.
wp plugin get seo-by-rank-math-pro --field=version

# Consulta las opciones asociadas al malware.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Revisa administradores y fechas de alta.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Comprueba los archivos del núcleo y las tareas de WordPress.
wp core verify-checksums
wp cron event list

# Este archivo no pertenece al núcleo de WordPress.
ls -la wp-includes/class-wp-cache-util.php

# Busca una de las cadenas indicadoras en los archivos PHP.
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Sustituye www-data por el usuario real del servidor web.
# Consultar el crontab de otro usuario puede requerir privilegios.
crontab -l -u www-data | grep 'ms6v46'
```

El nombre que reconoce WP-CLI puede depender de la carpeta instalada. Si no encuentra `seo-by-rank-math-pro`, consulta `wp plugin list` y usa el identificador que aparezca para Rank Math PRO. Del mismo modo, que no aparezca una opción o una cadena concreta no descarta otros mecanismos de persistencia.

## Vía recomendada: restaurar una copia de seguridad limpia

Si activaste una copia afectada y conservas una copia de seguridad anterior al comienzo del incidente, restaura **tanto los archivos como la base de datos**. La referencia temporal es el **15 de octubre de 2026 a las 20:02 UTC**: las 22:02 CEST, las 16:02 EDT o la 01:32 IST del 16 de octubre.

1. **Restaura el sitio y su base de datos** desde una copia limpia anterior a ese momento.
2. **Ejecuta un análisis de seguridad** con una herramienta de confianza, como [Wordfence](https://wordpress.org/plugins/wordfence/) o [Sucuri](https://wordpress.org/plugins/sucuri-scanner/).
3. **Cambia todas las contraseñas y credenciales potencialmente expuestas.** Incluye las de la base de datos, las claves de API y los demás secretos que se detallan en el apartado de credenciales.
4. **Instala Rank Math PRO 3.0.124** desde tu cuenta de Rank Math, después de restaurar el sitio.

Pide ayuda a tu proveedor de hosting si no sabes cómo restaurar la copia. Recuperar archivos anteriores al ataque no invalida los secretos que alguien ya haya podido obtener, por lo que debes cambiarlos igualmente.

## Vía alternativa: limpiar el sitio manualmente

Si no puedes recuperar una copia limpia, tendrás que eliminar el malware y revisar los cambios que haya dejado en WordPress y en el servidor. **El orden importa:** primero debes detener el mecanismo que reconstruye las puertas traseras y después retirar los demás componentes.

#### No empieces por borrar archivos sueltos

Una visita al sitio puede hacer que el malware vuelva a crear una puerta trasera. Si no tienes experiencia con archivos, bases de datos y ajustes del servidor, encarga estos pasos al proveedor de hosting o a un profesional de seguridad.

### 1. Detén el mecanismo de persistencia

Completa las tres acciones siguientes antes de buscar y eliminar el resto de los archivos maliciosos. Desactivar Rank Math PRO no basta para detener este mecanismo.

1. **Elimina la carpeta completa de Rank Math PRO.** Localiza `rank-math-pro` mediante el gestor de archivos del hosting o FTP y bórrala, no solo su archivo principal.
2. **Elimina las opciones maliciosas de la base de datos.** Con una herramienta como phpMyAdmin, abre la tabla `wp_options` y borra cualquier fila cuyo campo `option_name` sea `_uf6qdn2hmm`, `t8krdk990phb` o `_np5pvf754c`. Si la instalación usa otro prefijo de tablas, busca su tabla equivalente de opciones.
3. **Bloquea las conexiones salientes a `rank1cdn.com`**, si el hosting o el cortafuegos permiten hacerlo.

### 2. Busca los indicadores y elimina los cambios maliciosos

Los **indicadores de compromiso** son rastros que ayudan a localizar una intrusión, como nombres de archivos, cadenas de código o patrones de cuentas. En este caso debes revisar cada una de las áreas siguientes: el atacante puede haber dejado varios mecanismos de acceso.

#### Puertas traseras ocultas en archivos PHP

Busca archivos PHP sospechosos tanto en WordPress como en componentes que ya tenías instalados. No limites la búsqueda a la carpeta de Rank Math PRO.

- `wp-content/mu-plugins/`, donde WordPress carga plugins de uso obligatorio.
- Las carpetas de otros plugins.
- Las carpetas `inc/`, `includes/` y `lib/` de los temas que no sean los predeterminados de WordPress.
- La carpeta `includes/` de Rank Math.

Entre los patrones que debes investigar figuran `base64_decode` combinado con bucles XOR, que transforman datos mediante una operación lógica, la clave `xmmqhn` y llamadas a `proc_open`. Revisa también código que use sockets de PHP-FPM, el gestor de procesos de PHP. Un plugin de seguridad o tu proveedor de hosting puede ayudarte a localizar estos patrones y retirar los archivos maliciosos.

#### Cuentas de administrador desconocidas

Revisa todos los usuarios con permisos de administrador y comprueba quién autorizó cada cuenta. Presta especial atención a nombres que empiecen por `wpsupport_` y continúen con caracteres aleatorios, así como a direcciones de correo electrónico que terminen en `@wp-mail[.]net`.

```
wp user list --role=administrator
```

Elimina las cuentas que confirmes como maliciosas o no autorizadas. No des por legítima una cuenta solo porque su nombre parezca corresponder a un servicio de soporte.

#### Un archivo falso dentro del núcleo de WordPress

El archivo `wp-includes/class-wp-cache-util.php` **no forma parte del núcleo de WordPress**. Si existe, elimínalo y comprueba después los archivos del núcleo mediante sus sumas de comprobación, valores que permiten contrastarlos con las copias oficiales.

```
wp core verify-checksums
```

Reinstala los archivos del núcleo desde una fuente oficial para sustituir cualquier otro archivo alterado. La revisión no debe terminar al encontrar y borrar ese archivo falso.

#### Reglas de .htaccess y archivos .cache

Revisa el archivo `.htaccess` de la raíz del sitio y los que existan en sus subdirectorios. Busca reglas que permitan ejecutar archivos `.cache` como código PHP.

Busca también archivos `.cache` que contengan código PHP en el servidor. Investiga los resultados sospechosos: una extensión que parece corresponder a caché no garantiza que el archivo sea inocuo.

#### Tareas programadas de WordPress y del sistema

Examina el crontab, la lista de tareas periódicas del sistema, del usuario que ejecuta el servidor web. Busca entradas marcadas con `#ms6v46` y revisa por separado los eventos programados de WordPress.

```
# Usa el usuario real del servidor web en lugar de www-data.
crontab -l -u www-data

# Las tareas de WordPress se revisan por separado.
wp cron event list
```

Investiga las tareas desconocidas y elimina las que confirmes como maliciosas. Revisar únicamente los eventos de WordPress no cubre las tareas que el atacante haya añadido al sistema.

#### Otros plugins, temas y archivos subidos

Reinstala los plugins y los temas desde sus fuentes oficiales y, cuando sea posible, compara sus archivos con copias limpias. Comprueba también los archivos que no encajen con el contenido esperado del sitio.

- Revisa el directorio `uploads/` en busca de archivos PHP, que por lo general no deberían estar allí.
- Investiga cualquier archivo inesperado antes de borrarlo.
- Investiga los archivos modificados y contrástalos con una copia limpia cuando esté disponible.

#### Cambios fuera del directorio de WordPress

El usuario del servidor web puede tener permiso para escribir fuera de la instalación de WordPress. La revisión debe abarcar esos lugares y los posibles accesos que el atacante haya dejado en el servidor.

- Los archivos `authorized_keys`, que autorizan claves para acceder mediante SSH.
- Los crontabs de otros usuarios del sistema.
- Los procesos en ejecución.
- Las ubicaciones ajenas al directorio del sitio donde el usuario del servidor web pueda escribir.

Si usas hosting compartido y no puedes consultar esas áreas, pide al proveedor que las investigue. Una limpieza limitada al directorio del sitio no cubre los cambios que puedan existir fuera de él.

### 3. Cambia todas las credenciales potencialmente expuestas

Sustituye los secretos a los que podía acceder el sitio comprometido por valores nuevos y seguros. **Este paso también es obligatorio si has restaurado una copia de seguridad**, porque la copia no revoca credenciales que ya hayan salido del servidor.

- **Todas las contraseñas pertinentes:** cambia las de las cuentas de WordPress y las de otros servicios cuyas credenciales fueran accesibles desde el sitio.
- **Credenciales de la base de datos:** cambia el usuario y la contraseña y actualiza los valores correspondientes en `wp-config.php`.
- **Claves y salts de seguridad de WordPress:** regenera en `wp-config.php` las claves y los valores aleatorios que WordPress usa para proteger la autenticación.
- **Claves de API y credenciales de servicios:** sustituye las claves de las pasarelas de pago, las credenciales de SMTP para enviar correo electrónico, las claves de otras API y los secretos guardados en ajustes o archivos de configuración.
- **Acceso al hosting y al servidor:** cambia las contraseñas o credenciales del panel de hosting, FTP/SFTP y SSH. Revisa también los secretos guardados en variables de entorno.
- **Autenticación de dos factores:** revisa el segundo factor de las cuentas de administrador y restablécelo cuando sea necesario.

Actualiza la configuración del sitio y de los servicios conectados con las nuevas credenciales donde corresponda. Si no sabes qué secretos podía leer el sitio, pide al proveedor de hosting o a un profesional de seguridad que te ayude a inventariarlos y sustituirlos.

### 4. Verifica la limpieza y vigila si reaparecen archivos

Una limpieza necesita comprobaciones posteriores, no solo una lista de archivos eliminados. Completa estas cinco revisiones antes de dar por resuelto el incidente.

1. **Ejecuta un análisis de seguridad** con una herramienta de confianza, como Wordfence o Sucuri.
2. **Verifica los archivos del núcleo de WordPress** con `wp core verify-checksums`.
3. **Verifica los archivos de los plugins** con `wp plugin verify-checksums --all`. No todos los plugins ofrecen sumas de comprobación, especialmente los comerciales; cuando no existan, compara los archivos con una copia limpia de su fuente oficial.
4. **Supervisa las conexiones salientes y la actividad sospechosa** durante los días siguientes.
5. **Comprueba si reaparece algún archivo que hayas eliminado.**

```
wp core verify-checksums
wp plugin verify-checksums --all
```

Si vuelven a aparecer archivos sospechosos o detectas actividad inusual, la limpieza puede estar incompleta. Regresa al paso 2 de la limpieza manual y solicita una revisión más profunda al hosting o a un profesional de seguridad.

## Instala la versión limpia desde tu cuenta

Cuando hayas completado la vía de recuperación que corresponda, instala **Rank Math PRO 3.0.124**. Escribe `rankmath.com` directamente en el navegador, accede a tu cuenta y descarga el plugin desde el área de descargas.

Algunas cuentas pueden necesitar restablecer la contraseña para recuperar el acceso. Hazlo desde el sitio al que has accedido directamente, no desde un mensaje inesperado.

#### Desconfía de los enlaces recibidos por correo electrónico

Rank Math indica que nunca envía enlaces de acceso ni de descarga por correo electrónico. Trata como sospechosos los mensajes no solicitados que pidan pulsar un enlace para restablecer la contraseña o descargar el plugin, aunque aparenten proceder de Rank Math.

Los sitios no oficiales y los que redistribuyen plugins bajo licencia GPL pueden conservar copias de la versión 3.0.123. Para esta recuperación, descarga el paquete desde tu cuenta del proveedor, no desde un repositorio de terceros.

## Qué cambiar en el mantenimiento a partir de ahora

Un proveedor comercial de confianza también puede sufrir un ataque a su cadena de suministro. Las actualizaciones automáticas tienen una doble cara en este contexto: agilizan la llegada de versiones limpias, pero también pueden instalar un paquete oficial comprometido.

- **Revisa cómo aplicas las actualizaciones automáticas de plugins comerciales.** No trates el origen oficial como una garantía absoluta de integridad.
- **Mantén copias de seguridad fuera del servidor y con retención suficiente.** Necesitas poder recuperar un estado anterior al incidente, no solo la última copia disponible.
- **Supervisa y restringe las conexiones salientes del servidor web cuando sea posible.** Incluye esta revisión en el mantenimiento, no solo en la respuesta a incidentes.
- **Verifica los archivos mediante sumas de comprobación** y usa copias oficiales limpias cuando el proveedor no ofrezca esa posibilidad.
- **Mantén la cautela ante correos de supuesta asistencia.** Accede directamente a la cuenta del proveedor para gestionar contraseñas y descargas.

## Qué hacer si no puedes confirmar el alcance

Si no puedes averiguar cuándo obtuviste el paquete o si llegó a activarse, abre una consulta en el [soporte de Rank Math](https://rankmath.com/support/) o escribe a `support@rankmath.com`. Incluye la versión de Rank Math PRO y los pasos de recuperación que ya hayas completado para que puedan orientar la revisión.

Si has confirmado la activación de una copia afectada, elige ya entre restaurar una copia limpia o encargar la limpieza manual. No cierres la incidencia solo porque el escritorio muestre 3.0.124: completa el cambio de credenciales, las verificaciones y la vigilancia de los días posteriores.

## Referencias / Fuentes

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/)
- [Rank Math SEO PRO 3.0.123 malware](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/)
- [Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code](https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f)