WordPress con malware en hosting cómo desinfectar
Guía completa para desinfectar WordPress con malware en tu hosting: detección, limpieza manual y automática, refuerzo de seguridad y prevención futura.
Índice
- Cómo detectar malware en WordPress y en tu hosting
- Primeros pasos antes de desinfectar tu WordPress
- Análisis automático con plugins de seguridad
- Limpieza manual de archivos infectados
- Limpieza de la base de datos
- Revisar el hosting y cuentas relacionadas
- Reforzar la seguridad después de la desinfección
- Cómo prevenir nuevos ataques de malware
- Cuándo contactar al soporte del hosting o a un profesional
- Preguntas frecuentes
Cómo detectar malware en WordPress y en tu hosting
Detectar a tiempo que tu WordPress tiene malware es clave para minimizar daños en tu hosting, proteger los datos de tus usuarios y evitar penalizaciones de buscadores como Google. El malware puede manifestarse de forma evidente (mensajes de hackeo, redirecciones extrañas) o ser silencioso (envío de spam, puertas traseras, minado de criptomonedas). Entender las señales más comunes te ayudará a actuar con rapidez y precisión.
- Mensajes de advertencia del navegador (sitio engañoso, posible software malicioso).
- Alertas de Google Search Console indicando contenido malicioso o hackeado.
- Redirecciones automáticas a otras webs, especialmente desde móvil o ciertas páginas.
- Archivos desconocidos en tu instalación de WordPress o en el directorio raíz del hosting.
- Incremento repentino en el consumo de CPU, RAM o procesos en tu plan de hosting.
- Envío masivo de correos desde tu dominio (rebotes, quejas de spam).
- Usuarios administradores que no recuerdas haber creado.
- Cambios en el contenido: enlaces extraños, pop-ups, anuncios no autorizados.
Consejo: revisa periódicamente los registros (logs) de tu hosting y los informes de seguridad de tu proveedor. Muchos hostings detectan patrones de malware y te avisan antes de que el problema sea visible para tus usuarios.
Primeros pasos antes de desinfectar tu WordPress
Antes de empezar a eliminar malware de tu WordPress y de tu hosting, es fundamental preparar el entorno para evitar pérdidas de datos y no empeorar la situación. Estos pasos iniciales te permiten trabajar con mayor seguridad y tener un plan de recuperación si algo sale mal durante la limpieza.
- Genera una copia de seguridad completa (archivos + base de datos) incluso si está infectada. Te servirá como referencia y último recurso.
- Cambia todas las contraseñas: panel del hosting, FTP/SFTP, base de datos, usuarios de WordPress (especialmente administradores).
- Activa el modo mantenimiento o bloquea temporalmente el acceso público para evitar que los usuarios vean contenido malicioso.
- Anota la fecha y hora en la que detectaste el problema; puede ayudarte a localizar en los logs el origen del ataque.
- Revisa los correos del hosting por si han enviado detalles técnicos del malware detectado o archivos sospechosos.
Importante: no restaures una copia de seguridad antigua sin analizarla. Si el malware estaba presente antes de la copia, solo estarás reintroduciendo el problema en tu hosting.
Análisis automático con plugins de seguridad
Los plugins de seguridad para WordPress son una primera línea de defensa muy útil para detectar y, en algunos casos, eliminar malware de forma automática. No sustituyen a una revisión manual profunda, pero te ayudan a identificar archivos sospechosos, puertas traseras y modificaciones en el núcleo de WordPress, temas y plugins.
Algunos plugins populares para escanear y desinfectar tu instalación son:
- Wordfence Security: ofrece escaneo de archivos, comparación con el repositorio oficial, firewall y bloqueo de IPs.
- Sucuri Security: analiza la integridad de archivos, monitoriza cambios y ofrece un servicio externo de limpieza (de pago).
- iThemes Security: refuerza configuraciones de seguridad y detecta patrones de ataque.
- MalCare: especializado en detección de malware y limpieza automática, con análisis en servidores externos.
Pasos recomendados:
- Instala solo un plugin de seguridad principal para evitar conflictos.
- Ejecuta un escaneo completo de archivos y base de datos.
- Revisa el listado de archivos modificados o sospechosos y guarda un informe.
- Si el plugin permite limpiar automáticamente, realiza la limpieza pero verifica manualmente los cambios.
Limpieza manual de archivos infectados
La limpieza manual es el método más preciso para desinfectar un WordPress con malware en tu hosting, aunque requiere cierta experiencia técnica. Consiste en identificar archivos alterados, eliminar código malicioso y restaurar versiones limpias desde fuentes oficiales o copias de seguridad seguras.
Para trabajar con los archivos de tu sitio puedes usar el administrador de archivos del panel de hosting (cPanel, Plesk, etc.) o una conexión SFTP/FTP segura. Los pasos generales son:
- Compara el núcleo de WordPress con una descarga limpia de la misma versión desde wordpress.org.
- Reemplaza carpetas estándar como
wp-adminywp-includespor versiones limpias. - Revisa la carpeta
wp-content, donde suelen esconderse la mayoría de infecciones. - Analiza archivos clave como
wp-config.php,.htaccessyindex.phpen el raíz. - Busca patrones de código malicioso como funciones ofuscadas, eval, base64_decode, gzinflate, etc.
Ejemplos de ubicaciones frecuentes de malware:
- Archivos PHP con nombres aleatorios en
wp-content/uploads. - Archivos añadidos en la raíz del sitio:
xyz.php,shell.php, etc. - Código insertado al principio o final de
functions.phpde tu tema. - Reglas sospechosas en
.htaccessque generan redirecciones ocultas.
Limpieza de la base de datos
El malware en WordPress no solo se aloja en archivos; también puede inyectarse en la base de datos, especialmente en tablas que almacenan contenido, opciones y usuarios. Ignorar la base de datos puede dejar puertas traseras activas incluso después de limpiar los archivos.
Para revisar y desinfectar la base de datos, normalmente usarás phpMyAdmin u otra herramienta de gestión que ofrezca tu hosting. Procede con mucha cautela y siempre con una copia de seguridad reciente.
- Revisa la tabla
wp_usersen busca de usuarios administradores desconocidos. - Analiza la tabla
wp_optionspara localizar URLs extrañas, scripts o iframes. - Busca cadenas sospechosas en
wp_posts(inserción de enlaces, scripts o shortcodes maliciosos). - Elimina entradas de plugins que ya no utilizas y que puedan haber sido vector de ataque.
Búsquedas útiles en la base de datos:
- Buscar por términos como
<script,iframe,base64_,eval(en tablas de contenido. - Comprobar campos de redirección o URLs canónicas que apunten a dominios desconocidos.
- Verificar que las opciones de sitio (
siteurl,home) no hayan sido modificadas.
Revisar el hosting y cuentas relacionadas
Cuando un WordPress tiene malware, es frecuente que la infección afecte a todo el entorno del hosting, especialmente si compartes cuenta con otros sitios web. Por eso, además de limpiar WordPress, debes revisar la configuración global del servidor y las cuentas asociadas para evitar reinfecciones.
- Comprueba otros sitios alojados en la misma cuenta: si uno está infectado, los demás pueden estar comprometidos.
- Revisa cuentas FTP/SFTP y SSH y elimina accesos que no utilices o que no reconozcas.
- Analiza el correo del dominio para detectar envíos masivos de spam o cuentas comprometidas.
- Verifica permisos de archivos y carpetas (por ejemplo, 644 para archivos y 755 para directorios, salvo excepciones).
- Consulta los logs de acceso y error para identificar IPs o scripts que hayan explotado vulnerabilidades.
Recomendación: si tu hosting ofrece un escáner de malware a nivel de servidor, ejecútalo sobre toda la cuenta. Algunos proveedores permiten incluso cuarentenar archivos sospechosos automáticamente.
Reforzar la seguridad después de la desinfección
Una vez que has desinfectado tu WordPress y limpiado el malware del hosting, es esencial reforzar la seguridad para cerrar las puertas que permitieron el ataque. De lo contrario, es muy probable que los atacantes vuelvan a explotar las mismas vulnerabilidades en poco tiempo.
- Actualiza todo: núcleo de WordPress, temas y plugins a sus últimas versiones estables.
- Elimina lo que no uses: temas y plugins inactivos son un riesgo innecesario.
- Configura un firewall de aplicación web (WAF) mediante plugin o servicio externo.
- Activa la autenticación en dos pasos (2FA) para usuarios administradores.
- Limita intentos de acceso al panel de WordPress y bloquea IPs sospechosas.
- Cambia los prefijos de tablas en instalaciones nuevas para dificultar ataques automatizados.
Checklist rápido tras la limpieza:
- Revisar que no queden usuarios desconocidos.
- Verificar que no existan tareas programadas (cron) sospechosas.
- Comprobar que el sitio carga sin redirecciones ni avisos de seguridad.
- Solicitar a Google una revisión si tu sitio fue marcado como peligroso.
Cómo prevenir nuevos ataques de malware
Prevenir es siempre más económico y menos estresante que desinfectar un WordPress con malware. Implementar buenas prácticas de seguridad reduce drásticamente las probabilidades de que tu sitio y tu hosting vuelvan a ser comprometidos.
La prevención combina medidas técnicas, hábitos de gestión y una supervisión constante del estado de tu sitio web.
- Usa siempre plugins y temas de fuentes oficiales o desarrolladores de confianza.
- Evita nulled themes/plugins: suelen venir con puertas traseras integradas.
- Mantén copias de seguridad automáticas en un lugar externo al hosting (cloud, almacenamiento remoto).
- Monitoriza cambios de archivos y recibe alertas ante modificaciones inesperadas.
- Revisa periódicamente los registros de acceso y bloquea patrones de ataque repetitivos.
- Forma a los usuarios con acceso al panel para que usen contraseñas robustas y no compartan credenciales.
Buena práctica: establece una política de mantenimiento mensual donde revises actualizaciones, copias de seguridad, usuarios, logs y configuraciones de seguridad. Unos minutos al mes pueden ahorrarte horas de desinfección en el futuro.
Cuándo contactar al soporte del hosting o a un profesional
No siempre es posible o recomendable desinfectar un WordPress con malware por tu cuenta. En algunos casos, la complejidad técnica, la criticidad del sitio o la magnitud de la infección hacen aconsejable recurrir al soporte del hosting o a un especialista en seguridad web.
Valora pedir ayuda profesional en las siguientes situaciones:
- Tu sitio es crítico para el negocio (tienda online, intranet, plataforma de clientes).
- No tienes experiencia técnica con FTP, bases de datos o configuración de servidores.
- La infección se repite a los pocos días de haber limpiado el sitio.
- Hay indicios de robo de datos sensibles o acceso a información confidencial.
- Google u otros servicios han bloqueado tu dominio y necesitas una solución rápida y certificada.
Qué aportar al soporte o al profesional:
- Descripción de los síntomas (redirecciones, mensajes de error, avisos de seguridad).
- Fecha aproximada en la que detectaste el problema.
- Acciones que ya has realizado (escaneos, cambios de contraseñas, restauraciones).
- Acceso temporal seguro (si es necesario) para que puedan analizar el entorno.
Preguntas frecuentes
¿Cómo saber si mi WordPress tiene malware?
Algunas señales claras son redirecciones extrañas, avisos de navegador o Google, consumo inusual de recursos del hosting, aparición de archivos desconocidos y creación de usuarios administradores que no recuerdas. Complementa estas señales con un escaneo mediante plugins de seguridad y herramientas externas como VirusTotal o escáneres online especializados en WordPress.
¿Puedo desinfectar WordPress sin perder contenido?
Sí, en la mayoría de los casos es posible limpiar el malware sin perder entradas, páginas ni configuraciones importantes. La clave está en trabajar con copias de seguridad, reemplazar solo archivos del núcleo, temas y plugins por versiones limpias, y revisar cuidadosamente la base de datos para eliminar solo el código malicioso. Aun así, siempre existe un riesgo, por lo que la copia de seguridad previa es imprescindible.
¿Es suficiente con restaurar una copia de seguridad antigua?
Restaurar una copia de seguridad puede ser una solución rápida, pero no siempre definitiva. Si el malware ya estaba presente en la copia, el problema reaparecerá. Además, si la vulnerabilidad que permitió el ataque sigue abierta (plugin desactualizado, contraseña débil, etc.), el sitio puede volver a infectarse. Lo ideal es restaurar, actualizar y reforzar la seguridad al mismo tiempo.
¿Qué hago si el malware vuelve después de limpiarlo?
Si la infección se repite, es probable que quede alguna puerta trasera activa o que la vulnerabilidad original no se haya corregido. En este caso, revisa de nuevo los archivos modificados recientemente, analiza la base de datos, cambia todas las contraseñas y considera migrar a un hosting más seguro. Si el problema persiste, es recomendable contar con la ayuda de un especialista en seguridad WordPress.
¿Afecta el malware en WordPress al posicionamiento SEO?
Sí, el malware puede afectar gravemente al SEO. Google puede marcar tu sitio como peligroso, mostrar advertencias en los resultados de búsqueda o incluso desindexar páginas. Además, las redirecciones y el contenido spam dañan la experiencia de usuario y la reputación del dominio. Por eso es fundamental desinfectar el sitio cuanto antes, solicitar una revisión en Google Search Console y reforzar la seguridad para evitar nuevos incidentes.
¿Necesitas orientación personalizada?
Te ayudamos a entender tus opciones y el siguiente paso.
