Guía práctica: limpieza y blindaje de un WordPress comprometido

Un WordPress comprometido no se resuelve borrando archivos a ciegas. La prioridad es contener el incidente, conservar evidencia, recuperar una versión confiable y corregir la causa que permitió el acceso. Esta guía resume un proceso seguro y reutilizable para limpiar y blindar un sitio WordPress tras actividad sospechosa.

Importante: si el sitio procesa pagos, datos personales o pedidos, activa el modo mantenimiento solo si es necesario, informa a las personas responsables y conserva una copia completa antes de modificar nada.

Señales de que un WordPress podría estar comprometido

• Redirecciones a páginas que no reconoces, especialmente desde buscadores o móviles.
• Archivos PHP dentro de wp-content/uploads o carpetas con nombres aleatorios.
• Nuevos usuarios administradores, tareas cron o claves API que nadie del equipo creó.
• Alertas de Google Search Console, cambios inesperados en títulos o resultados de búsqueda.
• Consumo anormal de recursos, envíos de correo masivo o modificaciones recientes sin explicación.

1. Contén el incidente sin destruir evidencia

Antes de limpiar, toma un respaldo fuera de la carpeta pública: archivos, base de datos y, si es posible, un inventario de fechas de modificación. No cambies permisos a 777, no ejecutes borrados masivos y no copies archivos desde una fuente desconocida.

Si existe una copia anterior al incidente, anota su fecha y valida que pueda restaurarse. Un respaldo solo es útil si se sabe cuándo fue creado y se puede recuperar sin sobrescribir el sitio por accidente.

2. Revisa usuarios, accesos y cambios recientes

En WordPress, revisa los usuarios con rol Administrador y elimina o degrada únicamente los que no estén autorizados. Después, cambia las contraseñas de administradores, hosting, SFTP o SSH, base de datos, correo asociado y servicios externos conectados al sitio.

Comprueba también las claves de aplicación, integraciones, tareas programadas y cuentas de cPanel. Si varias personas administran el sitio, asigna responsables claros y evita cuentas compartidas.

3. Verifica el núcleo, temas y plugins desde fuentes confiables

Reinstala WordPress, el tema y los plugins afectados desde sus fuentes oficiales o desde copias verificadas. No conviene parchar archivos del núcleo manualmente si se desconoce qué fue modificado: comparar contra la versión oficial permite detectar cambios reales y evitar dejar puertas traseras activas.

• Elimina plugins y temas que no estén en uso.
• Reemplaza cualquier extensión nulled o descargada de sitios no oficiales.
• Actualiza WordPress, PHP, plugins y temas compatibles.
• Comprueba que los archivos personalizados estén documentados antes de reemplazarlos.

4. Inspecciona las zonas de mayor riesgo

Las ubicaciones habituales para revisar son wp-content/uploads, wp-content/mu-plugins, wp-content/plugins, wp-content/themes, el archivo .htaccess y las tareas cron del servidor. Busca archivos ejecutables inesperados, código ofuscado, redirecciones desconocidas y nombres que intenten parecerse a archivos legítimos.

Que un archivo contenga funciones como base64_decode no prueba por sí solo que sea malware; algunos desarrollos válidos las usan. La decisión debe basarse en el contexto, el origen del archivo y su comparación con una versión confiable.

5. Limpia con un criterio verificable

Primero identifica qué archivo o registro vas a retirar, por qué es sospechoso y qué copia lo respalda. Después elimina o reemplaza solo los elementos confirmados. Registra cada cambio: fecha, ruta, responsable y resultado. Ese registro evita perder funcionalidades legítimas y simplifica una revisión posterior.

En la base de datos, revisa opciones cargadas automáticamente, usuarios, contenido inyectado, reglas de redirección y configuraciones de plugins. Hazlo con exportación previa y evita reemplazos globales sin una prueba controlada.

6. Refuerza el sitio después de la limpieza

• Usa contraseñas únicas y autenticación en dos pasos para las cuentas administrativas.
• Limita el acceso al panel y al servidor por IP o mediante claves SSH cuando sea viable.
• Desactiva la edición de archivos desde el panel de WordPress si no es necesaria.
• Bloquea la ejecución de scripts donde no debe existir, como directorios de carga, tras validar la compatibilidad del sitio.
• Configura copias automáticas, cifradas y probadas regularmente.
• Mantén un firewall de aplicación y protección contra fuerza bruta con reglas revisadas.

7. Valida antes de dar el incidente por cerrado

Una limpieza no termina cuando el sitio vuelve a cargar. Prueba las páginas principales, formularios, inicio de sesión, compras o reservas, correos transaccionales y el área administrativa. Revisa los registros del servidor durante los días siguientes y comprueba en Search Console que no aparezcan problemas de seguridad, spam indexado o URLs extrañas.

También conviene verificar que la página conserve sus títulos, URLs canónicas, sitemap y medición analítica. Recuperar seguridad sin revisar visibilidad en buscadores puede dejar pérdidas de tráfico sin detectar.

Checklist de prevención continua

• Actualizaciones mensuales con respaldo previo.
• Revisión trimestral de usuarios administradores y extensiones activas.
• Prueba periódica de restauración de copias de seguridad.
• Monitoreo de cambios de archivos, disponibilidad y alertas de seguridad.
• Documentación de accesos, licencias y responsables técnicos.

Preguntas frecuentes

¿Debo borrar todos los archivos PHP de uploads?

No automáticamente. Es una señal que merece investigación, pero antes confirma si alguna función legítima del sitio genera esos archivos. Respalda y verifica cada caso antes de eliminarlo.

¿Cambiar contraseñas limpia el malware?

No. Cambiar credenciales evita reutilizar accesos comprometidos, pero debe acompañarse de una revisión de archivos, base de datos, extensiones y configuraciones.

¿Puedo recuperar el sitio solo desde una copia de seguridad?

Sí, si la copia es anterior al incidente y está verificada. Aun así, revisa la vulnerabilidad original; de lo contrario, el sitio puede volver a comprometerse después de restaurarlo.

Conclusión

La recuperación segura de WordPress combina respaldo, investigación, limpieza confirmada, actualización y monitoreo. Un proceso documentado reduce el riesgo de borrar información válida y deja al sitio mejor preparado frente a futuros incidentes.