WordPress infectado en wp includes cómo limpiarlo
WordPress infectado en wp-includes: cómo confirmarlo y limpiar el núcleo sin romper la web ni dejar puertas traseras abiertas.
Cuando aparece un wordpress infectado dentro de wp-includes, no conviene tratarlo como un fallo menor ni como un archivo suelto dañado. wp-includes es un directorio del núcleo de WordPress; si sus archivos han sido modificados sin motivo legítimo, en muchos casos es una señal de que la instalación completa puede estar comprometida.
La vía prudente no suele consistir en borrar fragmentos de código a mano sin contexto, sino en confirmar la alteración, aislar el sitio y sustituir los archivos del core por una copia limpia de la misma versión, revisando después accesos, extensiones y posibles puertas traseras. Limpiar solo wp-includes puede quitar el síntoma visible, pero no necesariamente el origen ni la reinfección.
Qué significa encontrar wp-includes infectado en WordPress
wp-includes contiene parte esencial del funcionamiento interno de WordPress. Ahí residen librerías, funciones base y componentes que el sistema carga de forma habitual. Por eso, si encuentras código sospechoso, archivos añadidos donde no deberían estar o cambios no explicados por una actualización oficial, el problema no suele limitarse a una carpeta concreta.
Respuesta breve: encontrar wp-includes infectado significa que el núcleo de WordPress puede haber sido alterado por malware o por una intrusión. Es grave porque el core participa en casi todas las peticiones del sitio y una modificación ahí puede afectar a la web entera. La forma más segura de actuar suele ser verificar la infección, hacer copia completa y reemplazar los archivos del núcleo por una copia limpia de la misma versión antes de revisar el resto del entorno.
En la práctica, hablar de malware wp-includes puede referirse a varios escenarios: archivos del core alterados, scripts añadidos para redirecciones, carga de spam, backdoors discretas o instrucciones ofuscadas insertadas en ficheros legítimos. También puede haber falsos positivos si una herramienta de seguridad compara mal la versión del core o si hay restos de una actualización incompleta. Por eso conviene confirmar antes de borrar.
Un punto clave: wp-includes no es la zona habitual para personalizaciones. Si algo parece “hecho a medida” ahí dentro, normalmente merece revisión inmediata.
Señales que suelen indicar una infección real en el núcleo
No toda alerta implica una intrusión confirmada, pero hay indicadores que justifican una revisión seria de la integridad de archivos:
- Archivos dentro de wp-includes con fechas recientes sin relación con una actualización planificada.
- Ficheros con nombres extraños o extensiones impropias en el core.
- Código ofuscado, cadenas muy largas codificadas o llamadas sospechosas a funciones de ejecución dinámica.
- Redirecciones, inyecciones SEO, páginas spam o cambios de comportamiento solo en ciertas URLs o dispositivos.
- Alertas del hosting, del WAF o de un escáner que señalan archivos del núcleo modificados.
- Usuarios administradores desconocidos, tareas programadas inesperadas o reinfección tras una limpieza superficial.
Si dispones de acceso por SSH o WP-CLI, algunas verificaciones pueden hacerse de forma más rápida, pero no es universalmente seguro dar comandos cerrados sin conocer el entorno. En hostings gestionados, instalaciones con permisos restringidos o versiones antiguas, la comprobación puede requerir otras rutas de trabajo. Si no tienes una referencia limpia del core, compara la versión instalada con el paquete oficial correspondiente descargado desde WordPress.org.
Conviene diferenciar entre un archivo del core alterado y un problema generado por plugin o tema. Aunque el síntoma aparezca en wp-includes, la vía de entrada real puede haber sido una extensión vulnerable, credenciales expuestas o una cuenta del servidor comprometida.
Qué hacer antes de tocar archivos: copia, aislamiento y acceso seguro
Antes de modificar nada, prioriza la conservación de evidencia mínima y evita empeorar la instalación. Estos pasos son razonables en la mayoría de casos:
- Activa mantenimiento o restringe acceso si es posible. Si el sitio está sirviendo contenido malicioso o redirecciones, conviene reducir exposición. La forma exacta depende del hosting, CDN, panel de control o reglas del servidor.
- Haz una copia completa. Incluye archivos y base de datos. Si luego necesitas investigar la intrusión o recuperar contenido, esa copia puede ser útil. No sustituyas la copia por una descarga parcial.
- Trabaja desde un equipo confiable. Si el ordenador del administrador está comprometido, cambiar contraseñas o subir archivos limpios puede no servir.
- Identifica la versión exacta de WordPress instalada. Esto es importante para reemplazar el core con un paquete compatible.
- Anota accesos implicados. WordPress, base de datos, SFTP/FTP, panel del hosting, SSH, CDN y correo asociado.
Error frecuente: empezar a borrar archivos al azar para “limpiar rápido”. Si eliminas piezas del core sin reemplazarlas de forma controlada, puedes romper la instalación y dificultar el diagnóstico posterior.
Si tienes una copia limpia y reciente verificada, restaurarla puede ser más eficiente que una limpieza manual, pero solo si sabes que esa copia no contiene ya la intrusión y si puedes asumir la pérdida de cambios posteriores. En sitios activos, conviene valorar impacto en pedidos, formularios, usuarios o contenido reciente.
Cómo limpiar wp-includes sin dañar la instalación
La opción más segura en muchos casos es sustituir los archivos del núcleo por una copia limpia de la misma versión de WordPress. Esto reduce el riesgo de dejar fragmentos maliciosos ocultos en ficheros del core y evita tener que decidir manualmente qué línea es legítima y cuál no.
- Confirma la versión instalada. No reemplaces el core con otra versión distinta salvo que el procedimiento esté planificado como actualización y el entorno lo soporte.
- Descarga una copia limpia desde WordPress.org. Asegúrate de obtener el paquete oficial correspondiente a la versión que vas a usar.
- Prepara el reemplazo del core. Normalmente se sustituyen directorios y archivos del núcleo como wp-includes y wp-admin, además de archivos raíz del core cuando proceda.
- Preserva lo que no debe tocarse sin revisión específica. En general, wp-config.php y wp-content no se reemplazan como parte de una reinstalación básica del núcleo, aunque sí deben revisarse porque también pueden estar comprometidos.
- Sobrescribe los archivos del core con la copia limpia. Hazlo por el método que mejor se ajuste a tu hosting: administrador de archivos, SFTP o SSH si está disponible y sabes usarlo con seguridad.
- Verifica funcionamiento básico. Comprueba acceso al panel, frontend, formularios y logs de error si existen.
Este procedimiento no equivale a dar por resuelto todo el incidente. Si el sitio tenía una puerta trasera en un plugin, un tema, la carpeta de subidas, la base de datos o una cuenta del servidor, el reemplazo del core solo habrá eliminado una parte del problema.
| Enfoque | Ventaja | Riesgo o límite |
|---|---|---|
| Limpieza manual archivo a archivo | Útil si sabes exactamente qué se alteró | Fácil dejar restos o romper el core |
| Restaurar archivos del core desde copia limpia | Método prudente y consistente para wp-includes infectado | No corrige por sí solo plugins, tema, base de datos o accesos comprometidos |
| Ayuda profesional | Mejor visión del incidente completo y de la reinfección | Mayor coste y dependencia del proveedor elegido |
Si no hay copia limpia, si el sitio usa personalizaciones antiguas o si aparecen múltiples indicadores de compromiso, conviene documentar cambios y avanzar por fases en lugar de improvisar.
Qué revisar después para evitar que el malware reaparezca
Una vez reemplazado el núcleo, la prioridad pasa a identificar la posible vía de entrada y reducir la reinfección. Esta checklist práctica suele ser útil:
- Revisar usuarios administradores y eliminar cuentas no reconocidas.
- Cambiar contraseñas de WordPress, hosting, SFTP/FTP, SSH, base de datos y correo asociado.
- Comprobar plugins y temas: versiones, procedencia, licencias y si hay extensiones abandonadas o anuladas.
- Reinstalar plugins y temas desde fuentes fiables, no desde paquetes dudosos.
- Inspeccionar wp-content, especialmente uploads, mu-plugins y directorios poco habituales.
- Revisar .htaccess y otros archivos de configuración del servidor para detectar redirecciones o reglas anómalas.
- Comprobar tareas programadas del sistema o del panel de hosting si el entorno las permite.
- Analizar la base de datos en busca de inyecciones en opciones, contenido o usuarios, si hay indicios.
- Verificar permisos de archivos y carpetas para evitar escrituras excesivas.
Aquí es donde más fallos se cometen: limpiar el síntoma y no la causa. Si la intrusión vino por credenciales filtradas, un plugin vulnerable o una cuenta SFTP antigua, el malware puede reaparecer aunque el core haya quedado limpio.
Como referencia oficial para endurecimiento general, WordPress mantiene su guía de seguridad y hardening en Hardening WordPress.
Cuándo conviene escalar la limpieza o pedir ayuda profesional
Hay escenarios en los que la limpieza interna deja de ser una tarea razonable para una pyme o una agencia sin tiempo de análisis:
- No puedes identificar la versión del sitio ni disponer de una copia limpia fiable.
- La web se reinfecta después de reemplazar el core.
- Hay múltiples instalaciones afectadas en la misma cuenta de hosting.
- Existen indicios de acceso al servidor, a cuentas de correo o a la base de datos.
- El sitio es de negocio y no puedes asumir paradas, pérdida de datos o errores manuales.
Pedir ayuda profesional no implica renunciar al control, sino reducir riesgo de reinfección y acortar tiempos cuando el incidente afecta a varias capas: WordPress, extensiones, servidor, credenciales y reputación del dominio. Si delegas, conviene solicitar un enfoque claro: qué se ha encontrado, qué se va a sustituir, qué accesos se van a rotar y qué medidas de hardening se aplicarán después.
En resumen: si detectas wp-includes infectado, trátalo como una posible instalación comprometida, no como un archivo aislado. La medida más prudente suele ser copiar, aislar, identificar versión y restaurar el núcleo de WordPress desde una fuente oficial limpia, seguido de una revisión de accesos, extensiones y configuraciones para evitar la reinfección.
Si no tienes claro el origen del incidente o prefieres no arriesgar una web en producción, el siguiente paso razonable es una revisión técnica completa o un servicio de limpieza especializado que analice tanto el core como el entorno del servidor.
Fuentes recomendadas
¿Necesitas orientación personalizada?
Te ayudamos a entender tus opciones y el siguiente paso.
