wp-includes/class-wp-cache-util.php Si tu WordPress tiene este fichero, tienes un problema. Es uno de los rastros de la puerta trasera creada por el plugin Rank Math SEO PRO en su versión 3.0.123 (CVE-2026-111862, CVSS 9.8). No se originó por un plugin pirata ni por una contraseña débil. Venía dentro de los propios ficheros que distribuía Rank Math entre el 15/10 a las 22:02 y el 16/10 a las 09:12 (hora peninsular). Una vez activado, el malware puede crear administradores, conectarse a rank1cdn[.]com y exponer contraseñas, credenciales de la base de datos y claves API. Y se reinstala solo cada vez que alguien visita la web. Además, hay un detalle que lo complica todo aún más. La versión 3.0.123 se publicó el 7/10, y Rank Math solo da por afectadas las copias descargadas en esa ventana de tiempo. Mismo número de versión, distinto contenido. Así que mirar la versión no basta: tienes que saber cuándo la instalaste. Esto tiene nombre: ataque a la cadena de suministro. El atacante no tiene que entrar en tu web si se la actualizas tú. Si tienes Rank Math PRO: ➡️ Mira la versión en la pantalla de Plugins (no hace falta SSH) o con wp plugin list --fields=name,version | grep -i rank ➡️ Ejecuta wp user list --role=administrator y busca usuarios wpsupport_... o emails @wp-mail[.]net ➡️ Busca en wp_options las entradas uf6qdn2hmm, t8krdk990phb y np5pvf754c, ficheros .cache con código PHP y un cron con la marca ms6v46 ➡️ Si se activó en la ventana: restaura una copia anterior al 15/10 a las 22:02. Sin copia, el orden importa: primero borra la carpeta rank-math-pro y esas 3 opciones, y después el resto. Desactivar el plugin no sirve. ➡️ Instala la 3.0.124 entrando tú en http://rankmath.com, nunca desde un enlace que te llegue por email. ➡️ Cambia contraseñas, credenciales de la base de datos, salts de wp-config.php, claves API y accesos SFTP/SSH. Aunque hayas restaurado la copia. Ojo: Rank Math dice que no envía enlaces de descarga por email. Si te llega uno, no lo utilices.
