Entre el 15 y el 18 de octubre, dos ataques a proveedores de plugins instalaron código malicioso en sitios WordPress: una versión alterada de Rank Math PRO y llaves robadas de UpdraftCentral. Cómo revisar tu sitio.
En menos de una semana, dos proveedores de plugins muy usados en WordPress fueron atacados, y sus propios canales de actualización terminaron instalando puertas traseras en los sitios de sus clientes. No fue una falla del código de WordPress: los atacantes entraron a la infraestructura de los proveedores.
Rank Math PRO 3.0.123
Las copias de Rank Math PRO 3.0.123 descargadas o actualizadas automáticamente entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre (de 3:02 p. m. a 2:12 a. m., hora de Colombia) contenían código malicioso. El caso se registró como CVE-2026-111862, con severidad 9,8 sobre 10, y quedó corregido en la versión 3.0.124. La versión gratuita del directorio de WordPress.org no se vio afectada, y Rank Math indicó que el incidente alcanzó a un número limitado de usuarios de la versión PRO.
Lo más importante: si tu sitio instaló esa versión dentro de la ventana, debes considerarlo comprometido. Según Rank Math, desactivar el plugin no basta, porque el código malicioso puede recrear su puerta trasera cada vez que alguien visita el sitio: hay que borrar la carpeta rank-math-pro y limpiar o restaurar el sitio. Entre los indicadores que publicó están conexiones al dominio rank1cdn.com, cuentas de administrador cuyo nombre empieza por wpsupport_ y el archivo wp-includes/class-wp-cache-util.php.
UpdraftCentral: llaves robadas
TeamUpdraft, creador del plugin de copias de seguridad UpdraftPlus, detectó un acceso no autorizado a teamupdraft.com durante el fin de semana del 17 y 18 de octubre, y cree que se consultó su base de datos de clientes. Allí estaban las llaves de conexión de UpdraftCentral, la consola para administrar varios sitios a la vez, y también las de UpdraftVault y UpdraftClone. Con las llaves de UpdraftCentral, los atacantes enviaron órdenes firmadas a los sitios conectados para instalar plugins maliciosos: Patchstack contó al menos 99 nombres distintos, como «Site Health Cache», y algunos crean cuentas de editor con permisos de administrador.
Las versiones 1.26.13 (gratuita) y 2.26.13 (premium) de UpdraftPlus, publicadas el 19 de octubre, desconectan las conexiones de UpdraftCentral creadas antes de las 13:07 (hora británica) del 18 de octubre. Pero actualizar no borra una puerta trasera que ya esté instalada.
Cómo revisar tu sitio WordPress
- Actualiza Rank Math PRO a la 3.0.124 y UpdraftPlus a la 1.26.13 o la 2.26.13, o a versiones superiores.
- Revisa la lista de plugins y elimina los que no reconozcas, aunque tengan nombres de apariencia técnica.
- Revisa los usuarios administradores y editores, y elimina las cuentas que nadie creó a propósito.
- En UpdraftCentral, borra las llaves de conexión antiguas y genera nuevas.
- Cambia las contraseñas de administración, de la base de datos y del hosting, y activa el doble factor.
- Si el sitio estuvo expuesto, restaura una copia de seguridad anterior al 15 de octubre y vuelve a aplicar las actualizaciones.
La lección
Los plugins premium se descargan por fuera del directorio de WordPress.org, directamente desde el proveedor: si su infraestructura cae, la actualización automática lleva el ataque a tu sitio. Por eso las actualizaciones automáticas deben ir acompañadas de monitoreo y de copias de seguridad guardadas fuera del sitio.
Actualización del 31 de octubre: avisos de Rank Math y TeamUpdraft
Revisamos esta noticia contra los avisos oficiales de Rank Math y TeamUpdraft. Cambiamos la cifra de «varios cientos de clientes», que la empresa solo dio a un medio, por lo que dice su aviso público, y agregamos sus instrucciones de limpieza y las demás llaves que TeamUpdraft confirma como expuestas.
Cómo te ayudamos
Con nuestro plan de mantenimiento para sitios web revisamos plugins y usuarios, aplicamos las actualizaciones con una copia de seguridad previa y vigilamos la seguridad de tu sitio. Si crees que tu sitio fue afectado, escríbenos para revisarlo.
Fuentes
- Patchstack: puerta trasera en Rank Math SEO PRO 3.0.123 (17 de octubre de 2026)
- Rank Math: incidente de seguridad de PRO 3.0.123 y cómo proteger tu sitio (16 de octubre de 2026)
- TeamUpdraft: lo que deben saber sus clientes sobre el incidente (19 de octubre de 2026)
- Patchstack: llaves robadas de UpdraftCentral instalan puertas traseras (19 de octubre de 2026)
- Imunify360: cómo limpiar sitios con UpdraftPlus (20 de octubre de 2026)
Fuente: Patchstack
