Cómo limpiar WordPress hackeado y eliminar malware
Proceso de respuesta para recuperar un WordPress comprometido sin limitarse a borrar un archivo y dejar abierta la causa.
Un WordPress hackeado puede mostrar redirecciones, usuarios desconocidos, archivos modificados, spam, alertas del hosting o avisos de malware. La limpieza no consiste solo en borrar lo visible: hay que recuperar control, eliminar persistencia y cerrar la entrada.
Si no tienes experiencia con servidor, base de datos y código, trabaja con el hosting o un especialista. Una acción incorrecta puede destruir evidencia o datos.
Señales
- Redirecciones.
- contenido desconocido.
- usuarios administradores.
- archivos nuevos.
- alertas.
- resultados de spam.
- cambios DNS.
- correos.
- consumo de recursos.
- bloqueo del hosting.
- antivirus del navegador.
Un error no siempre es hackeo. Documenta síntomas.
1. Conserva la calma y documenta
Anota:
- Fecha y hora.
- síntomas.
- cambios recientes.
- plugins instalados.
- accesos.
- alertas.
- capturas.
- logs.
WordPress recomienda documentar indicadores de compromiso.
2. Aísla
Según el caso:
- Mantenimiento.
- restringir acceso.
- desactivar funciones.
- contactar hosting.
- proteger clientes.
- pausar campañas.
No borres todo antes de copiar.
Si la web distribuye malware, prioriza detener el daño.
3. Crea una copia forense
Guarda:
- Archivos.
- base.
- logs.
- configuración.
- DNS.
- lista de usuarios.
- versiones.
La copia puede contener malware. No la restaures sin análisis.
4. Recupera cuentas
Cambia:
- Hosting.
- WordPress.
- base.
- SFTP/SSH.
- correo.
- DNS.
- CDN.
- pasarelas.
- API.
Hazlo desde dispositivo seguro.
Cierra sesiones y rota claves/salts.
No cambies solo el administrador si el correo está comprometido.
5. Identifica alcance
Revisa:
- núcleo.
- plugins.
- temas.
- uploads.
.htaccess.wp-config.php.- cron.
- usuarios.
- base.
- DNS.
- servidor.
- otras webs de la cuenta.
Una infección puede cruzar sitios si comparten usuario o hosting.
6. Compara con fuentes limpias
Reemplaza núcleo con versión oficial.
Para plugins y temas:
- Descarga original.
- compara.
- reinstala.
- elimina abandonados.
- conserva personalizaciones legítimas.
No sobrescribas wp-content completo sin entenderlo.
WordPress advierte que reinstalar desde el panel puede no eliminar archivos adicionales; una limpieza debe comprobar lo que no pertenece.
7. Revisa uploads
La carpeta de medios no debería contener ejecutables.
Busca archivos sospechosos, extensiones dobles y scripts.
No borres por nombre sin verificar.
8. Revisa base de datos
Busca:
- usuarios.
- opciones.
- código.
- contenido.
- enlaces.
- tareas.
- inyecciones.
- administrador cambiado.
Haz copia antes.
No ejecutes reemplazos globales sin prueba.
9. Elimina persistencia
Puede existir en:
- plugin falso.
- tema.
- mu-plugin.
- cron.
- usuario.
- archivo oculto.
- base.
- tarea del servidor.
- DNS.
Si limpias solo la redirección, puede volver.
10. Actualiza
Después:
- WordPress.
- plugins.
- temas.
- PHP.
- servidor.
Elimina lo no usado.
No actualices un plugin abandonado esperando que deje de ser vulnerable. Sustitúyelo.
11. Revisa permisos
Corrige permisos y propiedad.
No uses 777.
Protege configuración y elimina backups públicos.
12. Restaura desde copia
Una copia limpia puede acelerar si conoces la fecha del ataque.
Debes:
- verificar.
- actualizar.
- rotar credenciales.
- revisar causa.
- importar solo datos necesarios.
- comprobar pedidos.
Restaurar sin cerrar entrada produce reinfección.
13. Comprueba
- Escaneo.
- logs.
- usuarios.
- redirecciones.
- formularios.
- pagos.
- correos.
- Search Console.
- navegadores.
- DNS.
- archivos.
Haz pedidos de prueba si es tienda.
14. Solicita revisión
Si Google, hosting o proveedor marcó la web:
- Limpia.
- Documenta.
- Sigue proceso.
- Explica.
- Espera evaluación.
No solicites antes.
15. Comunica
Evalúa si se expusieron datos o afectaron clientes.
Con asesoría, define:
- alcance.
- obligación.
- mensaje.
- canal.
- medidas.
- contacto.
No ocultes un incidente relevante.
16. Cierra la causa
Causas frecuentes:
- plugin vulnerable.
- credencial.
- software nulled.
- servidor.
- usuario.
- correo.
- dispositivo.
- otra web.
Registra y corrige.
17. Endurece
- 2FA.
- usuarios mínimos.
- copias externas.
- WAF.
- monitoreo.
- actualizaciones.
- staging.
- logs.
- plan.
Consulta cómo proteger WordPress.
Qué no hacer
- Borrar sin copia.
- confiar en un escaneo.
- restaurar sin investigar.
- mantener plugin abandonado.
- usar nulled.
- cambiar solo contraseña.
- eliminar logs.
- ocultar síntomas.
- declarar limpio demasiado pronto.
Cuándo delegar
- Tienda activa.
- datos sensibles.
- acceso bloqueado.
- infección recurrente.
- varios sitios.
- servidor comprometido.
- sin copia.
- alerta legal.
- falta de experiencia.
Después
Monitorea varias semanas y compara archivos.
Si el hosting no permite aislar o restaurar bien, evalúa migrar WordPress a otro hosting después de tener una copia limpia.