WordPress infectado con malware: primeros pasos para recuperar una web empresarial

Publicado el 2026-11-14 por frfrand

Qué hacer cuando una web WordPress ha sido comprometida: contención, evidencias, limpieza, restauración y prevención.

# WordPress infectado con malware: primeros pasos para recuperar una web empresarial

Una web WordPress comprometida no se arregla simplemente instalando un plugin antivirus. Si un atacante conserva una cuenta administrativa, una puerta trasera o acceso al hosting, puede volver a infectarla horas después. El objetivo inicial no es dejar la portada bonita: es detener el daño, conservar pruebas y recuperar un servicio confiable. ## 1. Contener sin destruir las evidencias Si hay redirecciones a sitios fraudulentos, spam, usuarios desconocidos o ficheros PHP sospechosos, declara un incidente. Restringe temporalmente accesos de administración, desactiva funciones expuestas si es necesario y avisa a quien gestione el servidor. Si existe una tienda, evita que los clientes introduzcan datos sensibles mientras se determina el alcance. Cambiar archivos antes de guardar una copia puede borrar la pista de entrada. No elimines de inmediato todo el directorio ni ejecutes scripts de limpieza desconocidos. Anota la primera hora observada, URLs afectadas, cambios recientes y accesos disponibles. ## 2. Preservar copias y registros Antes de limpiar, crea una copia íntegra de archivos, base de datos y registros HTTP, PHP, sistema y autenticación. Guárdala fuera del servidor afectado con acceso restringido y fecha identificable. Conserva también una copia anterior al incidente si existe. Una copia infectada puede ser útil como evidencia, pero no debes restaurarla automáticamente en producción. Comprueba qué componentes se han tocado: archivos de núcleo, wp-content, uploads, plugins, themes, wp-config.php, tareas programadas, cuentas de WordPress y credenciales del hosting. En uploads, la presencia de ejecutables PHP merece investigación especial. ## 3. Investigar la causa y el alcance Revisa versiones, extensiones abandonadas, plugins instalados desde fuentes desconocidas, usuarios administradores y accesos FTP/SFTP. Compara archivos del núcleo con distribuciones oficiales y busca modificaciones recientes sin asumir que cualquier archivo nuevo es malicioso. Evalúa si el compromiso alcanza otros sitios alojados en la misma cuenta. Identifica qué pudo exponerse: datos personales, pedidos, formularios, correos o credenciales. Si hubo datos personales afectados, consulta los deberes de notificación aplicables a tu jurisdicción. ## 4. Recuperar en un entorno limpio Siempre que sea posible, restaura desde una copia verificada anterior al compromiso en un entorno aislado y actualizado. Reinstala núcleo, temas y plugins desde orígenes legítimos; no copies ciegamente código del servidor infectado. Migra solo el contenido y datos que hayas revisado. Rota contraseñas, claves de base de datos, API y sesiones de autenticación; activa MFA y revisa claves SSH y panel DNS. Prueba formularios, enlaces, pedidos y correos transaccionales antes de redirigir tráfico. Verifica que no queden tareas cron, usuarios ni puertas traseras sospechosas. ## 5. Evitar una segunda infección Aplica actualizaciones con proceso de pruebas, copias automáticas externas y restauraciones periódicas ensayadas. Reduce privilegios, desinstala extensiones inactivas, limita el acceso al administrador y monitoriza cambios de archivos y disponibilidad. Un WAF puede añadir una capa, pero no reemplaza las actualizaciones. Señal de recuperación exitosa: además de cargar la web, deben funcionar las operaciones del negocio y debe estar documentada la causa probable, los cambios y el plan de seguimiento. ## Preguntas frecuentes ### ¿Basta con reinstalar WordPress? No: pueden persistir usuarios, plugins, base de datos o credenciales comprometidas. ### ¿Debo borrar la base de datos? No sin evaluación y copia. Puede contener datos legítimos esenciales. ### ¿Puedo usar un backup de ayer? Solo después de comprobar si el ataque ya estaba presente entonces. ## Recursos y ayuda Lee también cómo funciona una vulnerabilidad CVE y el ejemplo de un fallo crítico en un plugin WordPress. Si necesitas reconstruir un WordPress comprometido o migrarlo a infraestructura aislada, ArduMaker puede servir como base para un plan de recuperación y mantenimiento. Referencia: guía oficial de endurecimiento de WordPress.