Hace una semana contamos que Rank Math tenía una ejecución remota de código y que había que actualizar. El consejo estaba bien, pero incompleto: la versión que arregla ese fallo, la 1.0.277, traía uno nuevo. Y este no era un bug. Era una función.
Rank Math, segunda vez en una semana: el botón de ayuda que se hacía administrador
Una semana después del CVE de ejecución remota, Rank Math tenía otro problema: abrir el botón de «Ayuda y soporte» creaba una contraseña de administrador y la enviaba a un servidor externo. Sin pedir permiso antes.
Lo que hacía el botón de ayuda
Rank Math 1.0.277 salió el 26 de agosto con un asistente de soporte nuevo. En cuanto un administrador abría la pantalla de «Ayuda y soporte», el plugin generaba una Application Password de nivel administrador y la enviaba a servidores de group.one, la empresa detrás de Rank Math.
No había pantalla de consentimiento antes de crearla. Aparecía una casilla de condiciones, pero después de que la contraseña ya se hubiera generado y enviado. Y esa credencial, con el nombre «WAP - Rank Math Support Agent», no tenía fecha de caducidad ni se revocaba al cerrar la pestaña.
Dicho de otra forma: cada vez que alguien pulsaba un botón de ayuda, le daba a un tercero acceso total y permanente a su web, sin saberlo.
Quién lo destapó y qué pasó después
Lo hizo público Sybre Waaijer, autor de un plugin de SEO rival, el 28 de agosto. La generación de contraseñas siguió activa tres días más pese a la denuncia. Rank Math sacó una 1.0.277.1 el día 27 que no lo corregía, y el arreglo real llegó con la 1.0.277.2, el 31 de agosto.
El plugin está instalado en más de 4 millones de sitios. Cuántas de esas Application Passwords se llegaron a crear, y cuántas siguen activas hoy en cuentas que nunca las revisaron, no lo sabe nadie fuera de group.one.
Dos fallos, un mismo origen
No son incidentes sueltos. Son la misma causa vista dos veces en una semana: un plugin con acceso total al servidor, que se actualiza en su propio calendario, y que decide por su cuenta qué hacer con ese acceso. Da igual que un caso sea un fallo de código y el otro una función mal diseñada — el resultado es idéntico: alguien que no eres tú, con las llaves de tu web.
Cuanto más hace un plugin, más superficie tiene para fallar así. Y Rank Math, por diseño, hace mucho: es el que decide tu SEO.
Qué revisar si usas Rank Math
- Actualiza a la 1.0.277.2 o posterior. Corrige los dos problemas, el de ejecución de código y el de la contraseña.
- Entra en Usuarios → Tu perfil → Application Passwords y busca cualquier entrada que empiece por «WAP –». Revócala.
- Repite el paso 2 en cada usuario con rol de administrador, no solo en el tuyo: cualquiera que abriera esa pantalla generó su propia credencial.