Malware en WordPress: cómo detectarlo y eliminarlo

📅 Publicado el 10 de octubre, 2026 · Por Equipo RedServicio

El malware en WordPress sigue siendo una de las amenazas más frecuentes para cualquier web: aproximadamente uno de cada tres sitios infectados en internet funciona sobre este CMS. No es casualidad, es popularidad. Detectar la infección a tiempo marca la diferencia entre una limpieza de una tarde y perder datos, acabar bloqueado por Google o ver cómo roban información de tus usuarios. Aquí vas a encontrar los síntomas de un sitio comprometido, qué herramientas usar para el diagnóstico y cómo eliminar el código malicioso paso a paso, ya sea por tu cuenta o con ayuda de especialistas. Un apunte: tener un hosting de calidad con soporte 24/7 (como el que ofrecemos en RedServicio) pesa mucho cuando surge el incidente.

Señales de que tu WordPress tiene malware

Muchas infecciones pasan semanas sin que nadie las note. El malware moderno está diseñado para eso: para no molestar, para no cantar. Aun así, hay síntomas que conviene vigilar:

• Redirecciones extrañas: tus visitantes acaban en sitios de apuestas, farmacias o páginas de phishing. Tú no has configurado nada de eso.
• Caídas de tráfico repentinas: Google marca tu sitio como peligroso («Este sitio puede dañar tu equipo») y las visitas se desploman de un día para otro.
• Archivos desconocidos: aparecen PHP con nombres aleatorios como wpsfjs9d.php o class.plugin-modules.php en tus carpetas.
• Publicidad de spam injectada: banners o pop-ups que nunca instalaste. Detalle curioso: a veces solo los ven quienes llegan desde Google.
• Usuarios administradores fantasma: cuentas que no reconoces y que tienen permisos de administrador.
• Rendimiento degradado: la web va lenta porque el malware está enviando spam o participando en ataques desde tu servidor.
• Alertas de Search Console: Google te avisa de contenido spammy o software dañino.

Herramientas para detectar malware en WordPress

Sin diagnóstico fiable, no hay limpieza posible. Estas son las opciones que mejor funcionan:

Plugins de seguridad

• Wordfence: incluye un escáner que compara archivos del núcleo, temas y plugins con los originales del repositorio oficial.
• MalCare: escanea desde servidores externos sin sobrecargar tu hosting y permite limpiar con un clic.
• Sucuri Scanner: monitoriza integridad de archivos, listas negras y actividades sospechosas.

Escáneres externos

• VirusTotal: analiza tu dominio contra más de 70 motores antivirus.
• Google Safe Browsing: comprueba si tu sitio está en listas negras.
• Quttera e IsItWP Security Scanner: útiles para un primer vistazo sin instalar nada.

Análisis manual vía SSH

Si tienes acceso por consola, grep es tu aliado. Por ejemplo, para buscar funciones típicas de malware:

grep -r –include=»*.php» «eval(base64_decode» /ruta/tu-web/

Ese comando localiza archivos con código ofuscado. Una de las técnicas más habituales entre los atacantes, y de las más viejas.

Cómo limpiar malware en WordPress manualmente paso a paso

¿Prefieres afrontar la limpieza tú mismo? Bien. Pero sigue este orden, sin saltarte pasos:

1. Haz copia de seguridad completa: archivos y base de datos, aunque esté infectada. Necesitarás restaurar contenido legítimo.
2. Pon el sitio en modo mantenimiento: evita que los visitantes pasen por el sitio comprometido.
3. Cambia todas las contraseñas: administrador de WordPress, FTP, base de datos y panel de hosting. Y hazlo desde un dispositivo limpio, no desde el que sospechas.
4. Reinstala el núcleo de WordPress: descarga la versión actual desde wordpress.org y sustituye las carpetas wp-admin y wp-includes completas. El malware rara vez vive ahí; al reemplazarlas eliminas las infecciones más comunes.
5. Revisa la carpeta wp-content/uploads: no debería contener ningún archivo PHP. Los que encuentres, fuera.
6. Compara temas y plugins: reinstálalos desde fuentes oficiales en lugar de intentar «limpiarlos».
7. Inspecciona la base de datos: busca scripts maliciosos en tablas como wp_posts y wp_options (cadenas como eval, base64_decode o iframe).
8. Revisa el archivo .htaccess y wp-config.php: los atacantes suelen insertar aquí redirecciones y reglas sospechosas.
9. Limpia la caché y solicita revisión a Google: desde Search Console, pide que reexaminen tu sitio.

¿El proceso se te hace cuesta arriba? ¿O la infección reaparece justo después de limpiar? Entonces casi seguro queda una puerta trasera que no has localizado. Ahí es cuando un proveedor con soporte especializado 24/7, como RedServicio, te ahorra horas de frustración y riesgos innecesarios.

Restaurar y asegurar tu sitio tras una infección

Quitar el malware no es lo último. En realidad quedan restos por todas partes: cachés, copias temporales, configuraciones viejas… y cualquiera de esos rincones puede reactivar la infección semanas después. Antes de dar el sitio por limpio, repasa esto:

1. Cambia todas las contraseñas: la base de datos, el panel del hosting, FTP, SSH y todos los usuarios de WordPress. Contraseñas largas, generadas con Bitwarden o 1Password. Nada de reutilizar las de siempre.
2. Regenera las claves de seguridad (salts): abre wp-config.php y reemplaza los valores de AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY y NONCE_KEY. Los generas nuevos en api.wordpress.org/secret-key. Con esto todas las sesiones activas quedan invalidadas, incluidas las del atacante. Es un paso pequeño con un efecto enorme.
3. Reinstala el núcleo de WordPress: desde Escritorio → Actualizaciones → Reinstalar versión, o descargando el paquete oficial y subiéndolo por FTP (excluye wp-content, ojo).
4. Revisa los usuarios administradores: si hay alguna cuenta que no reconoces, o que lleva meses inactiva, fuera.
5. Limpia la caché y la CDN: vacía cachés de plugins y del servidor, y purga Cloudflare o el CDN que uses. Si no, tus visitantes seguirán recibiendo las páginas infectadas aunque tú ya lo hayas arreglado todo.
6. Solicita la revisión en Google Search Console: si Google marcó tu sitio, envía la solicitud de reconsideración en la sección de Problemas de seguridad.

¿Y después? Vigila. Durante al menos una semana, un escaneo diario con el plugin de seguridad que hayas instalado te confirmará (o no) que la limpieza fue completa.

Errores comunes al eliminar malware en WordPress

Con las mejores intenciones, muchos webmasters cometen errores que agravan el problema o dejan la puerta abierta para que la infección vuelva. Los he visto todos, y son estos:

• Confiar solo en el escáner: ningún plugin detecta el 100% del malware. Los ofuscadores modernos fragmentan el código malicioso entre archivos legítimos, así que el escaneo automático siempre necesita ir acompañado de revisión manual.
• Sobrescribir el tema sin actualizarlo: restaurar esa copia del tema que tenías en tu ordenador puede reintroducir el malware original, sobre todo si la copia también estaba contaminada o desactualizada.
• Eliminar archivos sospechosos sin copia previa: aunque estén infectados, los necesitas. Sirven para el análisis forense y para recuperar contenido legítimo que pudiera estar incrustado.
• No buscar la puerta trasera: limpiar lo visible no sirve de nada si el atacante conserva un shell PHP escondido, por ejemplo en wp-content/uploads o disfrazado de imagen con código PHP dentro. Es más común de lo que parece.
• Olvidar la base de datos: muchas inyecciones no viven en los archivos, sino en wp_options, wp_posts o los widgets. Lanza consultas SQL buscando cadenas como base64_decode, eval( o eval(str_rot13.
• Restaurar una copia demasiado antigua: recuperas el sitio, sí, pero pierdes pedidos, comentarios y contenido. Hay que equilibrar seguridad y pérdida de datos; las copias diarias son la mejor respuesta a ese dilema.

Conclusión: prevención y protección continua

Detectar y eliminar malware en WordPress exige método, paciencia y herramientas adecuadas. Escaneos con Wordfence o MalCare, revisión manual de archivos y base de datos, una restauración cuidadosa de credenciales y configuraciones. Pero lo importante, lo de verdad importante, es que la infección no vuelva a ocurrir.

La prevención se apoya en cuatro pilares: mantener todo actualizado (núcleo, temas y plugins), usar credenciales robustas y autenticación en dos pasos, disponer de copias de seguridad automáticas y verificadas, y contar con un hosting preparado, con firewall a nivel de servidor, monitorización y aislamiento de cuentas.

Ese último pilar, francamente, marca la diferencia entre recuperar un sitio en horas o perder días enteros. En RedServicio combinamos copias de seguridad diarias, certificados SSL, escaneo de malware y un equipo de soporte disponible 24/7 para ayudarte justo cuando más lo necesitas. Porque la seguridad de una web no es un producto que se instala y ya está: es un proceso continuo, y conviene tener aliados a la altura. ¿Tu sitio está realmente protegido hoy?