Puertas traseras en webs WordPress actualizadas: Rank Math PRO y las claves robadas de UpdraftCentral

Entre las 20:02 UTC del 15 de octubre de 2026 y las 07:12 UTC del 16, parte de las descargas y actualizaciones de Rank Math PRO hechas desde la web del fabricante entregaron una versión 3.0.123 con código malicioso. Lo confirma Rank Math en su aviso de incidente, que publicó la 3.0.124 limpia y pide tratar como comprometida toda web que activara el paquete afectado durante esa ventana. Wordfence, como autoridad de numeración (CNA), asignó al caso el CVE-2026-111862, con una puntuación CVSS de 9,8.

Pocos días después, en un incidente distinto, un atacante usó claves de gestión remota de UpdraftCentral, presumiblemente sustraídas de los sistemas de TeamUpdraft, para instalar plugins con puerta trasera en webs de terceros. TeamUpdraft es la empresa, UpdraftPlus su plugin de copias de seguridad (1.x en la edición gratuita y 2.x en la Premium) y UpdraftCentral la consola que gestiona esas webs a distancia.

Ninguno de los dos ataques explotó un fallo sin parchear en las webs afectadas. La empresa de seguridad Nethemba comprobó que sus tres webs atacadas a través de UpdraftCentral ejecutaban WordPress 7.1.3 y UpdraftPlus 2.26.11, con el parche de la vulnerabilidad de junio CVE-2026-10795. En cada caso, el atacante entró por la relación de confianza entre la web y el fabricante de sus plugins, y ninguna fuente pública ha relacionado los dos incidentes.

¿Qué pasó con Rank Math PRO 3.0.123?

La versión gratuita de Rank Math, que se distribuye por el repositorio de WordPress.org, no se vio afectada, según el aviso del fabricante del 16 de octubre. El problema se limitó a la edición de pago, que se descarga y actualiza desde la infraestructura de Rank Math.

La 3.0.123 legítima se había publicado el 7 de octubre, según el registro de cambios de Rank Math. Todo indica, según The Repository, que durante la ventana un paquete manipulado la sustituyó con el mismo número de versión, y el registro del CVE precisa que tener la 3.0.123 instalada no prueba por sí solo el compromiso. Rank Math dijo a ese medio, en un artículo del 20 de octubre, que la versión comprometida afectó a "varios cientos de clientes", sin explicar cómo entró el atacante en sus sistemas.

El aviso describe una persistencia pensada para sobrevivir a la limpieza obvia. El código regenera su puerta trasera cada vez que alguien visita la web y puede crear administradores con el prefijo wpsupport_, un fichero falso en el núcleo (wp-includes/class-wp-cache-util.php) y reglas de .htaccess que hacen ejecutable como PHP lo que parece caché.

Desactivar el plugin no es suficiente y hay que borrar su carpeta completa. Rank Math advierte además de que el atacante pudo hacer cambios fuera de WordPress, pide revisar las claves SSH autorizadas y el crontab del usuario del servidor web, y da por expuestas todas las credenciales a las que la web tenía acceso. El dominio de mando y control (C2) del malware, rank1cdn[.]com, se registró el 14 de octubre, unas 24 horas antes de la ventana, según el registro RDAP de Verisign.

¿Cómo se usaron las claves de UpdraftCentral?

TeamUpdraft confirmó un acceso no autorizado a teamupdraft.com durante el fin de semana del 17 y 18 de octubre de 2026. Lo da por resuelto y lo ha comunicado a la autoridad británica de protección de datos (ICO) y a otras autoridades. Cree que el intruso llegó a la base de datos de clientes. Esa base contenía nombres, correos, direcciones de facturación e historial de pedidos, además de las contraseñas almacenadas como hashes (resúmenes criptográficos), la configuración de la autenticación de dos factores y las claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. Los ficheros del plugin y sus descargas quedaron al margen.

Según el análisis de Patchstack, el cliente de UpdraftCentral viene incluido en todas las copias de UpdraftPlus y permanece inactivo hasta que la web recibe sus claves de conexión. Desde ese momento ejecuta las órdenes firmadas que llegan del panel, con las capacidades del usuario que creó la conexión.

Esas claves no caducan, y Nethemba encontró claves emitidas en noviembre de 2025 que seguían funcionando en octubre de 2026. La casilla que añade la web a UpdraftCentral al conectarla con una cuenta de TeamUpdraft sigue marcada por defecto mientras la web no tenga clave, según comprobó Nethemba en el código de la 2.26.11 y de la 1.26.13. Por eso puede haber claves en webs cuyos responsables nunca usaron la consola.

Patchstack registró la primera instalación maliciosa el 18 de octubre a las 15:32, sin indicar zona horaria, y contó 99 nombres distintos de plugins con puerta trasera, disfrazados de utilidades de mantenimiento como "Site Health Cache". Las primeras muestras tenían un error de programación que provocaba un fallo fatal antes de llegar a la puerta trasera, y muchas webs devolvían un error 500. La web del medio francés IT-Connect, con UpdraftPlus Premium 2.26.11, recibió la orden a las 05:17 UTC del 19 de octubre, aunque el plugin malicioso falló por ese error.

Nethemba y Wordfence documentan además una variante operativa con dos modos. Uno crea un administrador completo y otro inicia sesión como el primer administrador existente sin crear cuentas ni dejar rastro en la base de datos. Wordfence indica que puede ocultar ese administrador, mientras que Nethemba comprobó que la ocultación falla y la cuenta aparece en la lista de usuarios.

El fundador de la empresa de mantenimiento NerdPress contó a The Repository que encontró unas 340 webs de clientes con claves. En ocho de ellas, y en su blog personal, se había instalado la puerta trasera, que retiraron antes de que se explotara, y las claves usadas databan de 2018 a 2021.

¿Por qué estar al día no protegió?

¿Tenía UpdraftCentral una vulnerabilidad que parchear?

UpdraftCentral no tiene CVE, y Patchstack clasifica el caso como un compromiso de claves, sin un defecto que corregir en el código de la web. El ciclo habitual, en el que se publica una vulnerabilidad y el responsable se protege actualizando, no se aplica aquí, porque las webs de Nethemba aceptaron órdenes firmadas con claves válidas.

¿Por qué el riesgo en Rank Math estaba en actualizar durante la ventana?

Es previsible que las webs que ya tenían la 3.0.123 limpia no volvieran a descargarla, porque el actualizador solo ofrece versiones superiores a la instalada, aunque ninguna fuente lo ha confirmado. El riesgo se concentró en las instalaciones nuevas, las reinstalaciones o descargas manuales y las webs que actualizaron desde una versión anterior durante la ventana.

Una política de esperar unos días tras cada versión tampoco protege frente a esto, porque la 3.0.123 llevaba ocho días publicada cuando se manipuló y toda web que la instalara durante la ventana la recibía igual. Lo que habría detectado el cambio es una comprobación de integridad del paquete contra una huella publicada por el fabricante por otra vía, y Wordfence recuerda que no todos los plugins de pago ofrecen esas huellas.

¿Por qué la autenticación multifactor no frenó la puerta trasera?

Por diseño, la puerta trasera descrita por Patchstack crea una cuenta de editor con las capacidades manage_options e install_plugins e inicia sesión con ella sin pasar por el formulario de acceso. La variante operativa documentada por Wordfence y Nethemba genera directamente la cookie de autenticación con wp_set_auth_cookie(). En ninguno de los dos casos llegan a ejecutarse la autenticación multifactor, los límites de intentos ni los plugins que protegen el inicio de sesión.

¿Cerró la primera corrección de UpdraftPlus el acceso?

TeamUpdraft publicó una versión de emergencia, la 1.26.12 (gratuita) y 2.26.12 (Premium), que debía borrar las claves de UpdraftCentral. Según Nethemba y BleepingComputer, un error impedía que lo hiciera, y la 1.26.13/2.26.13, publicada la noche del 19 de octubre, corrige la revocación.

Nethemba comprobó que la 1.26.13 solo borra las claves creadas antes de las 12:07 UTC del 18 de octubre, aunque TeamUpdraft fija el corte en las 22:00 BST (21:00 UTC). Las claves creadas entre las 12:07 y las 21:00 UTC siguen en la web y hay que borrarlas a mano. Nethemba recomienda borrar también las claves de Migrator, guardadas en otra opción, aunque no ha visto abusos con ellas.

¿Cuántas webs pueden estar expuestas?

BleepingComputer recoge que en torno al 10 % de las webs con UpdraftPlus guardan claves de UpdraftCentral o de Migrator, lo que supondría unas 400.000 webs en riesgo. Nethemba habla de "menos del 10 %" y de "hasta unas 400.000" sobre más de cuatro millones de instalaciones, a partir de una estimación del fabricante para el fallo de junio. Es un orden de magnitud y no un recuento de víctimas, porque el número de webs que recibieron la puerta trasera no se conoce.

¿Qué cambia respecto al modelo habitual de riesgo en WordPress?

Muchas empresas gestionan su web corporativa inventariando plugins, vigilando sus vulnerabilidades y actualizando pronto, con un cortafuegos de aplicaciones web (WAF) que tape el hueco mientras tanto. Ese modelo protege frente a las vulnerabilidades y hay que mantenerlo.

Estos dos incidentes caen fuera de él. La actualización de Rank Math venía del origen legítimo. Las órdenes de UpdraftCentral eran peticiones POST a la raíz de la web con una firma válida, un tráfico que una regla genérica no reconoce como ataque.

Los WAF con reglas específicas para plugins sí actuaron después de la divulgación. Wordfence publicó una regla de emergencia, que llegó a los usuarios gratuitos pocas horas después que a los de pago, y que bloquea las órdenes entrantes de UpdraftCentral en las versiones anteriores a 1.26.12/2.26.12, incluidas las legítimas. Patchstack también bloquea ese canal, y para Rank Math explicó en su base de datos que no era posible una regla.

El análisis útil deja de centrarse en qué plugin tiene una vulnerabilidad conocida y pasa a preguntarse qué terceros pueden escribir código en el servidor web y con qué capacidades. El patrón recuerda a otros ataques a la cadena de suministro contra el canal de actualizaciones, como las actualizaciones manipuladas de AOMEI Backupper o el secuestro BGP que afectó a Virtualizor. En este caso el activo es una web corporativa, que suele depender de marketing o de una agencia externa y a menudo ni siquiera figura en el inventario de proveedores críticos.

¿Cómo debe cambiar la defensa de una web corporativa?

El inventario tiene que ir más allá de la lista de plugins. Hay que saber cuáles se actualizan desde servidores del fabricante y no desde WordPress.org, qué consolas de gestión remota tienen claves instaladas en cada web y qué cuentas de usuario respaldan esas claves. Si la web la mantiene una agencia, esa información debería figurar en el contrato y revisarse con los criterios de gestión del riesgo de terceros que se aplican a los proveedores con acceso a sistemas. Una auditoría de seguridad de aplicaciones web debería cubrir esas relaciones de confianza antes que la lista de versiones.

Reducir lo que obtiene el intruso al entrar es la segunda línea de defensa. Rank Math pide considerar expuestas todas las credenciales que la web podía leer, como la base de datos, las claves de API, el SMTP o el acceso al hospedaje. Un servidor web que guarda claves de nube con permisos amplios convierte una puerta trasera en WordPress en un incidente de infraestructura, y las pautas para acotar las identidades no humanas y claves de API se aplican igual aquí.

Las conexiones salientes merecen el mismo cuidado. Bloquear rank1cdn[.]com solo fue posible una vez publicado el aviso. Un servidor web que solo puede conectar con una lista cerrada de destinos (repositorios de actualización, pasarela de pago, servicios internos) dificulta ese canal de mando y control sin esperar al indicador.

Los permisos son la última palanca. En una de las tres webs de Nethemba el ataque falló porque la clave pertenecía a un usuario sin permiso para instalar plugins, y Nethemba cita además un caso en el que una carpeta de plugins sin permiso de escritura para PHP impidió la instalación. Recomienda mantener esa carpeta en solo lectura cuando sea viable y, si se necesita gestión remota, generar las claves con un usuario sin la capacidad install_plugins, aplicando el principio de mínimo privilegio en vez de usar la cuenta de administrador.

¿Cómo se recupera una web afectada?

Rank Math, Wordfence y Nethemba recomiendan tratar la web como comprometida, restaurarla desde una copia anterior al incidente y cambiar todas las credenciales. Rank Math y Wordfence incluyen las claves y sales de WordPress, y Wordfence y Nethemba piden cerrar las sesiones abiertas. TeamUpdraft sugiere restaurar desde una copia anterior al 17 de octubre si se encuentra algo sospechoso. Sin una copia limpia y probada, la alternativa es una limpieza manual larga e incierta, como explicamos en la guía sobre copias de seguridad resistentes al ransomware.

Para UpdraftCentral, Patchstack pide borrar primero las claves en la web y no intentar reparar el plugin malicioso, porque corregir el error de las primeras muestras lo activa. Eliminar la web del panel de UpdraftCentral no la desconecta. Patchstack aconseja no volver a conectarla hasta que el fabricante explique la causa, mientras que TeamUpdraft y Wordfence indican reconectarla con una clave nueva una vez revisada la web.

Mantienen su valor la verificación de integridad de ficheros contra la distribución oficial, la revisión periódica de usuarios y capacidades, y el envío de los registros de acceso del servidor web a un sistema donde el atacante no pueda borrarlos. Nethemba señala que el registro interno de UpdraftCentral solo guarda los últimos 50 eventos. Si la investigación supera la capacidad del equipo interno, un servicio de respuesta a incidentes puede conservar las evidencias y acotar el alcance.

¿Qué indicadores de compromiso hay que revisar?

Para Rank Math PRO, el aviso del fabricante y el análisis de Wordfence señalan estos indicadores de compromiso.

• Conexiones salientes o consultas DNS hacia rank1cdn[.]com.
• El fichero wp-includes/class-wp-cache-util.php, que no forma parte de WordPress, los ficheros .cache con código PHP y los ficheros PHP inesperados en uploads/ y mu-plugins/.
• Las entradas _uf6qdn2hmm, t8krdk990phb y _np5pvf754c en la tabla wp_options.
• Administradores cuyo nombre empieza por wpsupport_ o cuyo correo termina en @wp-mail[.]net, y tareas del crontab del usuario del servidor web marcadas con #ms6v46.

Para UpdraftCentral, Patchstack, Nethemba y Wordfence señalan estos otros.

• Claves en la opción updraft_central_localkeys, aunque nunca se haya usado la consola, y, según Nethemba, en updraft_migrator_localkeys.
• Plugins desconocidos con la descripción "Small maintenance toolkit: keeps option storage tidy", opciones que terminan en _sync_token y usuarios con el nombre visible "Site Tools" o correos en @example.org y @example.com.
• Usuarios con rol de editor que además tienen manage_options, y administradores que nadie reconoce.
• Peticiones POST a la raíz con el agente de usuario WordPress/6.4; class-udrpc.php o desde 43.250.53.42 y 2a09:bac5:4e21:2e3c::49b:9. Según IT-Connect, la dirección IPv6 es una salida compartida de Cloudflare WARP, así que bloquearla o buscarla puede dar falsos positivos.
• Peticiones GET a la raíz con un parámetro de 12 caracteres hexadecimales y un valor de 32, el disparador de la puerta trasera, como las que Nethemba vio el 20 de octubre desde 178.83.37.220, 178.83.37.243 y 178.94.218.31.

Con WP-CLI, estas comprobaciones de solo lectura cubren parte de lo básico. wp core verify-checksums señala ficheros que no deberían existir en wp-admin y wp-includes, pero no revisa wp-content, y con --include-root revisa también la raíz. wp plugin verify-checksums --all, que propone Rank Math, solo puede verificar los plugins de WordPress.org y omite los de pago. Los parámetros --skip-plugins --skip-themes evitan que un plugin malicioso altere el resultado, aunque los mu-plugins y los drop-ins se siguen cargando. La salida de updraft_central_localkeys contiene material de clave sensible y no debe compartirse, y crontab -l -u requiere permisos de administrador del sistema.

wp core verify-checksums --include-root
wp plugin verify-checksums --all
wp option get updraft_central_localkeys --skip-plugins --skip-themes
wp option get updraft_migrator_localkeys --skip-plugins --skip-themes
wp option list --search="*_sync_token" --skip-plugins --skip-themes
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --skip-plugins --skip-themes
wp user list --role=editor --field=ID --skip-plugins --skip-themes | xargs -I{} wp user list-caps {} --skip-plugins --skip-themes
crontab -l -u usuario-del-servidor-web | grep ms6v46

¿Se sabe cómo entraron los atacantes en los dos fabricantes?

Ni Rank Math ni TeamUpdraft han explicado, a 21 de octubre de 2026, cómo entraron los atacantes en sus sistemas. TeamUpdraft habla de "una debilidad subyacente" ya corregida, sin más detalle, y tampoco se sabe cuántas webs llegaron a recibir una puerta trasera en cada caso.

A un atacante le compensa más comprometer a un fabricante que distribuye código o firma órdenes para miles de webs que asaltarlas una a una, porque así esquiva los controles que esas webs pusieron contra los fallos de código. Mientras ese cálculo le salga rentable, cabe esperar más casos en el ecosistema de plugins comerciales. Para la empresa que mantiene una web con ellos, el trabajo consiste en averiguar quién de fuera tiene permiso de escritura en su servidor, con qué credenciales y durante cuánto tiempo.

Fuentes y atribución: este análisis se basa en las divulgaciones públicas de Rank Math, TeamUpdraft, Patchstack, Nethemba y Wordfence, en el registro RDAP de Verisign y en la cobertura de BleepingComputer, The Repository e IT-Connect, con la información disponible el 21 de octubre de 2026. La mención de los fabricantes no implica un fallo en el diseño de sus productos más allá de lo que ellos mismos han comunicado. Las causas de ambos accesos no se han publicado y los datos pueden cambiar a medida que avancen las investigaciones.

Aviso: los comandos e indicadores de este artículo son de solo lectura y orientativos. Antes de borrar ficheros, usuarios o claves en una web en producción hay que hacer una copia completa y, si hay indicios de compromiso, conservar las evidencias para el análisis forense.