Limpieza de malware en wp config sin perder la web

Sí, es posible abordar una limpieza de malware en wp config sin perder la web, pero conviene hacerlo con copia de seguridad, revisión de integridad y una comprobación real del alcance de la infección. En términos prácticos, limpiar wp-config.php significa retirar código malicioso de un archivo de configuración crítico de WordPress sin alterar credenciales, claves de seguridad, prefijo de tablas ni ajustes necesarios para que el sitio siga funcionando. Aun así, wp-config.php rara vez es el único punto afectado: puede ser solo el síntoma visible de una intrusión más amplia.

Este archivo contiene datos sensibles como el nombre de la base de datos, el usuario, la contraseña, las salts de autenticación, el prefijo $table_prefix y otras constantes críticas. Por eso, una limpieza manual mal planteada puede romper la carga del sitio o dejar activa la puerta de entrada del atacante.

Qué implica una limpieza de malware en wp-config.php y cuándo puede bastar

Una intervención sobre wp-config.php puede bastar solo en casos limitados: por ejemplo, si el archivo muestra una inyección clara, el resto de archivos coincide con una copia limpia y no hay indicios de cambios en plugins, temas, mu-plugins, carpeta uploads, base de datos o cuentas de acceso.

Si el malware ha añadido código antes de la línea inicial de PHP, ha insertado funciones ofuscadas o ha modificado inclusiones para cargar archivos externos, habrá que valorar si la alteración es aislada o forma parte de una persistencia mayor. En una web hackeada en WordPress, conviene partir de la idea de que el archivo de configuración puede no ser la única pieza comprometida.

Cómo revisar wp-config.php sin poner en riesgo la web

Antes de tocar el archivo

• Haz una copia de seguridad completa de archivos y base de datos.
• Trabaja, si es posible, sobre una copia local o un entorno de staging.
• Descarga el archivo actual y guarda una versión intacta antes de editar nada.
• Comprueba la fecha de modificación y compárala con otros archivos sensibles.

Qué revisar exactamente

Revisa si hay bloques de código que no pertenecen a una instalación normal de WordPress: cadenas ofuscadas, inclusiones a rutas extrañas, llamadas a ejecución dinámica o instrucciones insertadas fuera de contexto. El archivo de configuración de WordPress suele ser breve y reconocible. Si aparece código ajeno a credenciales, salts, prefijo de tablas o constantes esperables, hay que sospechar.

También conviene comparar el contenido con una copia conocida como válida. Si no existe una copia fiable, la revisión debe ser más conservadora, porque eliminar una línea legítima puede dejar la web inaccesible.

Qué señales indican que la infección puede afectar a más archivos o a la base de datos

Hay varios indicios de que no estamos ante una alteración aislada del archivo wp-config.php:

• Archivos recientes o modificados en wp-content, especialmente en plugins, themes, uploads o mu-plugins.
• Usuarios administradores desconocidos o cambios en credenciales comprometidas.
• Redirecciones, inyecciones de spam, páginas nuevas no creadas por el propietario o código extraño en widgets.
• Tareas programadas inesperadas, comportamiento anómalo del alojamiento o avisos del proveedor.
• Entradas sospechosas en la base de datos, como scripts insertados en opciones, contenidos o configuraciones.

Si aparecen una o varias de estas señales, la recuperación de la web requerirá una revisión más amplia de integridad del sitio, no solo una limpieza manual del archivo.

Pasos prudentes para limpiar el archivo y recuperar el funcionamiento

1. Asegura una copia completa antes de editar. Si algo falla, podrás volver atrás.
2. Identifica el código ajeno comparando con una versión válida del archivo o con una copia anterior limpia.
3. Elimina solo lo claramente malicioso. No borres constantes ni ajustes cuyo propósito no tengas claro.
4. Verifica la sintaxis y la carga del sitio tras guardar. Un error mínimo en PHP puede dejar WordPress inoperativo.
5. Revisa permisos, usuarios y accesos. Si la intrusión entró por credenciales o por un plugin vulnerable, el problema puede repetirse.
6. Valora regenerar las salts y cambiar contraseñas de WordPress, base de datos, SFTP o panel de hosting, según el caso.

Si después de limpiar el archivo la web sigue mostrando síntomas, no conviene insistir a ciegas. En ese punto habrá que revisar plugins, temas, base de datos, cron, logs y el entorno del servidor con más profundidad, como en un proceso de recuperar WordPress hackeado y limpiar malware.

Cómo evitar que el malware vuelva a aparecer

• Actualiza WordPress, temas y plugins, y elimina lo que no uses.
• Revisa usuarios administradores y aplica contraseñas robustas.
• Controla los permisos de archivos y la revisión del alojamiento.
• Conserva copias de seguridad verificadas y separadas del servidor.
• Supervisa cambios en archivos clave y accesos recientes.

Las recomendaciones oficiales de WordPress sobre endurecimiento y recuperación básica son una buena referencia para ordenar el proceso y reducir riesgos, pero no sustituyen una investigación técnica cuando la infección se ha extendido.

En resumen: limpiar wp-config.php sin revisar el resto del entorno puede dejar la infección activa. La cautela pasa por combinar copia de seguridad, revisión de archivos, credenciales, plugins, temas, base de datos y accesos. Si tienes dudas sobre el alcance real o la web sigue comportándose de forma extraña, el siguiente paso razonable es una auditoría o una limpieza profesional para evitar tocar más de la cuenta y agravar el problema.