Rank Math es un plugin de WordPress para gestionar el SEO de una web: títulos, descripciones, mapas del sitio. Tiene una versión gratuita y otra de pago, Rank Math PRO. Entre el 15 y el 16 de octubre de 2026, durante unas once horas, la versión PRO 3.0.123 que se descargaba desde el propio canal del fabricante venía con malware: código malicioso capaz de dejar un acceso oculto en la web.
Si usas la versión gratuita, este incidente no te afecta. Si usas PRO, la pregunta no es solo qué versión tienes hoy, sino qué pasó en tu web durante esas horas. Te explicamos cómo averiguarlo y qué hacer en cada caso, sin dar por hecho que te atacaron y sin conformarte con «ya se actualizó».
- Afecta a Rank Math PRO 3.0.123 descargado entre el 15 de octubre a las 20:02 y el 16 de octubre a las 07:12 (hora UTC). La versión gratuita de WordPress.org no está afectada.
- Lo que decide el riesgo es si esa versión llegó a estar activada. Activada, la web se trata como comprometida aunque ya tenga la 3.0.124.
- La salida recomendada es restaurar una copia anterior al 15 de octubre, revisar la web y cambiar todas las contraseñas y claves.
Qué pasó y cuándo
Según el aviso oficial de Rank Math, publicado el 16 de octubre y actualizado por última vez el 22, los archivos de la versión PRO 3.0.123 distribuidos en esa ventana podían comprometer el sitio si el plugin se activaba. La empresa retiró los archivos y publicó una versión limpia, la 3.0.124.
Las copias maliciosas salieron por el canal de descargas y actualizaciones de rankmath.com, no por WordPress.org, de donde viene la versión gratuita. El aviso no explica cómo llegaron los archivos a su sistema ni cuántos clientes los recibieron.
- 15 oct 2026, 20:02 UTCEmpieza la ventana en la que Rank Math PRO 3.0.123 se distribuye con malware.
- 16 oct 2026, 07:12 UTCTermina la ventana. Rank Math retira los archivos y publica la versión limpia 3.0.124.
- 16 oct 2026Rank Math publica su aviso de seguridad con los pasos de recuperación.
- 22 oct 2026Última actualización del aviso consultada.
En hora de América, la ventana va aproximadamente del 15 de octubre por la tarde al 16 de octubre de madrugada. En Ciudad de México, por ejemplo, de las 14:02 del 15 a la 01:12 del 16; en Buenos Aires o São Paulo, de las 17:02 a las 04:12.
Lo que hace el malware, según el aviso, es dejar un acceso oculto que se vuelve a crear solo cuando alguien visita la web. Además, el atacante pudo crear cuentas de administrador, modificar archivos de WordPress, cambiar la configuración del servidor web y programar tareas. Por eso no basta con cambiar de versión.
Descargar, instalar y activar no es lo mismo
El aviso separa tres situaciones, y conviene entenderlas antes de alarmarse:
El caso más delicado es el de las actualizaciones automáticas. Si tu web tenía Rank Math PRO activo y se actualizó sola durante esa ventana, la versión maliciosa se instaló y se activó sin que nadie hiciera nada. Que hoy veas la 3.0.124 no dice qué pasó en medio.
Cómo averiguar si tu web la recibió
No hay una casilla en WordPress que diga «esta web tuvo la 3.0.123». Lo que sí se puede hacer es reunir datos para responder la pregunta. Estas son las que pediríamos a quien te mantiene la web, o al hosting:
Si no se puede saber con certeza y la web tenía Rank Math PRO con actualizaciones automáticas, lo prudente es tratarla como si la versión hubiera estado activa.
Si la versión estuvo activa: recuperar la web
El aviso de Rank Math propone dos caminos y recomienda el primero:
- Restaurar una copia de seguridad anterior al 15 de octubre a las 20:02 UTC, de los archivos y de la base de datos. Después, análisis de seguridad, cambio de todas las contraseñas y claves, e instalación de la 3.0.124 desde tu cuenta de Rank Math.
- Limpieza manual, si no hay copia. Es un trabajo técnico largo: hay que borrar la carpeta completa del plugin (desactivarlo no basta), buscar archivos y tareas que el malware pudo dejar en varios lugares del servidor, y comprobar que no vuelven a aparecer. Si tu web es importante para el negocio, esto no es para hacerlo con un tutorial.
Lo que restaurar una copia no cubre son los cambios posteriores: pedidos, consultas o contenidos que entraron después del 15 de octubre. Antes de restaurar, conviene sacarlos aparte para recuperarlos. Por eso importa tanto tener copias que se puedan restaurar de verdad; lo explicamos en probar una copia de seguridad de WordPress.
En los dos caminos hay un paso que el aviso califica de esencial: cambiar todas las credenciales que la web podía conocer. No solo la contraseña de WordPress:
- Contraseñas de todos los administradores.
- Datos de acceso a la base de datos y claves de seguridad de WordPress.
- Claves de servicios conectados: correo de envío, pasarela de pago, otras integraciones.
- Accesos al hosting, por FTP o por SSH.
Y una precaución que repite el aviso: la versión limpia se descarga entrando tú directamente en rankmath.com. Rank Math dice que nunca envía enlaces de acceso o de descarga por correo, así que un mensaje con un enlace «para descargar la versión segura» es sospechoso.
Lo que no conviene hacer
- Dar por cerrado el tema porque ya tienes la 3.0.124. Si la 3.0.123 estuvo activa, lo que dejó el malware puede seguir ahí. Rank Math lo dice expresamente.
- Desactivar el plugin y seguir. El aviso indica que hay que borrar la carpeta completa, y que el acceso oculto puede reconstruirse si se borran archivos sueltos en el orden equivocado.
- Suponer que te atacaron porque usas Rank Math. La versión gratuita no está afectada, y en PRO depende de qué versión tuvo tu web y cuándo.
- Cambiar solo la contraseña de WordPress. El malware pudo leer cualquier clave que la web guardaba: base de datos, correo, pagos, hosting.
Este caso tiene algo en común con la brecha de UpdraftPlus de la misma semana: en los dos, el problema llegó por un canal en el que el dueño de la web confiaba. Las actualizaciones automáticas siguen teniendo sentido, pero conviene decidir cuáles se automatizan y cuáles no. Lo explicamos en actualizaciones automáticas en WordPress.
