Malware en WordPress: cómo detectarlo y limpiarlo

📅 Publicado el 28 de octubre, 2026 · Por Equipo RedServicio

Malware en WordPress es una de las amenazas más frecuentes para cualquier sitio: al ser el gestor de contenidos más usado del mundo (más del 40% de la web), se convierte en el objetivo favorito de quienes atacan mediante plugins desactualizados, contraseñas débiles o temas piratas. Un sitio infectado puede perder posiciones en Google, acabar marcado como peligroso por los navegadores, filtrar datos de tus usuarios o, peor todavía, usarse para enviar spam sin que te enteres. La parte buena es que, con detección temprana y método, la mayoría de infecciones se limpian sin perder contenido. Aquí verás cómo reconocer las señales de alerta, qué hacer en los primeros minutos tras descubrir la infección y qué herramientas usar para escanear y limpiar tu instalación.

Señales de que tu WordPress está infectado con malware

Muchas infecciones pasan semanas sin que nadie las note. El malware moderno se esconde bien. Aun así, casi siempre deja síntomas:

• Caídas repentinas de tráfico: si las visitas se desploman sin motivo, Google podría haber detectado contenido spam o redirecciones maliciosas.
• Redirecciones extrañas: quien entra a tu web acaba en sitios de apuestas, farmacias o páginas de phishing, sobre todo desde el móvil.
• Archivos nuevos o modificados: aparecen ficheros con nombres como wp-conflg.php (con «l» en vez de «i»), class.php o scripts PHP en wp-content/uploads/, donde jamás deberían existir.
• Avisos de Google Search Console: mensajes del tipo «Se ha detectado contenido dañino» o «Este sitio puede ser hackeado».
• Usuarios administradores desconocidos: cuentas creadas sin tu consentimiento, muchas veces con nombres genéricos tipo admin_123.
• Enlaces spam en tu contenido: texto oculto con enlaces a webs de relojes, medicamentos o casinos, inyectado en entradas, pies de página o directamente en la base de datos.
• Consumo anormal de recursos: el hosting te avisa de picos de CPU o envío masivo de correos (el malware suele dedicarse a minar criptomonedas o a hacer spam).

Tómate unos minutos de vez en cuando para comprobar tu sitio en la herramienta de navegación segura de Google (transparencia.google.com/safe-browsing) y repasa la lista de usuarios en tu panel de administración. Cuesta poco. Y evita sorpresas.

Primeros pasos: actuar rápido sin empeorar el problema

Descubrir una infección pone a anyone a las prisas. Y ahí está el peligro: improvisar suele agravar el daño. Sigue este orden:

1. Pon el sitio en modo mantenimiento: así evitas que Google marque tu web como peligrosa y que los visitantes entren en páginas comprometidas.
2. Cambia todas las contraseñas: admin de WordPress, panel de hosting, FTP/SFTP y la base de datos. Hazlo desde un dispositivo limpio, nunca desde el equipo que sospechas infectado.
3. Haz una copia de seguridad del sitio infectado: parece contraintuitivo, lo sé. Pero te servirá para el análisis forense y como respaldo antes de tocar nada.
4. Identifica la fecha aproximada de la infección: ordena los archivos por fecha de modificación en tu gestor de archivos (en cPanel, por ejemplo). Los archivos PHP modificados hace poco en wp-content/uploads/ son sospechosos habituales.
5. Desactiva plugins y temas no esenciales: reduces la superficie de ataque mientras investigas. No borres nada todavía.

Con el sitio aislado y las credenciales renovadas, ya puedes pasar al análisis y la limpieza con ciertas garantías.

Herramientas y plugins para escanear malware en WordPress

El escaneo manual es posible, sí, pero lento. Lo razonable es combinarlo con herramientas automatizadas que cubran todo el terreno:

• Wordfence Security: el plugin de escaneo más popular. Compara los archivos de tu instalación con los originales del repositorio de WordPress y detecta modificaciones, backdoors y firmas conocidas de malware.
• MalCare: escanea desde servidores externos sin cargar tu servidor y permite limpiar con un clic. Muy útil si el sitio ya está sufriendo por la infección.
• Sucuri Security: además del escáner, ofrece monitorización de integridad de archivos y listas negras (blacklists) para saber si Google o algún antivirus lo han marcado.
• WPScan: herramienta de línea de comandos pensada para desarrolladores; detecta vulnerabilidades conocidas en tu versión de WordPress, plugins y temas.
• ClamAV o el escáner del hosting: muchos paneles incluyen antivirus a nivel de servidor, capaz de pillar archivos infectados fuera de WordPress.

Escaneo manual de archivos sospechosos

Los plugins no lo ven todo. Completa el trabajo buscando, vía SFTP, patrones típicos de código malicioso:

• Funciones como eval(base64_decode(…)), gzinflate o str_rot13 al inicio de archivos PHP legítimos.
• Archivos PHP dentro de wp-content/uploads/ (no debería haber ni uno).
• Inyecciones en .htaccess: reglas de redirección que no reconoces.

Con el diagnóstico completo tendrás un mapa claro de la infección. Y estarás en condiciones de afrontar la limpieza profunda que veremos en la siguiente parte de esta guía.

Limpieza manual paso a paso: base de datos, archivos y usuarios

Con el diagnóstico delante, toca actuar. Pero antes de tocar un solo archivo, haz copia de seguridad completa del sitio infectado. No por si acaso: porque si algo sale mal durante la limpieza, querrás tener una referencia forense para analizar qué ocurrió exactamente.

Limpieza de archivos

1. Reinstala el núcleo de WordPress: descarga WordPress limpio desde wordpress.org y sobrescribe los archivos de la raíz, excepto wp-config.php y wp-content. Con esto eliminas cualquier puerta trasera inyectada en los archivos del core.
2. Reemplaza temas y plugins: borra por completo los directorios de temas y plugins y vuelve a instalarlos desde fuentes oficiales. Aquí muchos se equivocan. Un plugin infectado no se «limpia»: se sustituye. Sin negociación.
3. Elimina archivos sospechosos: borra los PHP encontrados en wp-content/uploads y cualquier archivo con nombres aleatorios como wp-connfig.php o class.theme-icons.php. Fíjate bien en ese «connfig» con doble n: precisamente así disfrazan los atacantes sus backdoors.

Limpieza de la base de datos

Entra en phpMyAdmin y revisa estas tablas:

• wp_posts y wp_options: busca inyecciones de JavaScript o iframes con consultas SQL como SELECT * FROM wp_posts WHERE post_content LIKE ‘%<script%’;. Sustituye las coincidencias por el contenido original o edítalas a mano.
• wp_users: elimina cuentas de administrador que no reconozcas, típicas de infecciones como la de «admin de respaldo» con nombres parecidos al tuyo. Te sorprendería lo convincentes que resultan a veces.
• wp_usermeta: borra los metadatos de los usuarios eliminados para no dejar residuos. Es un detalle que se olvida con frecuencia.

Verificación final de usuarios y permisos

Comprueba que tu usuario administrador tiene la contraseña cambiada, revisa claves API en wp-config.php y en los ajustes de plugins de pago, y aplica permisos correctos: 755 para directorios y 644 para archivos. Un plugin de seguridad como Wordfence te permite además comparar los archivos core y escanear con firmas actualizadas una vez terminada la limpieza manual.

Restaurar y fortalecer la seguridad tras eliminar el malware

Eliminar el malware no basta si dejas abierta la puerta por la que entró. He visto webs reinfectadas en menos de una semana por saltarse esta parte. Estos pasos consolidan la limpieza:

• Cambia todas las credenciales: contraseñas de administradores, de la base de datos, de FTP/SFTP y de cualquier servicio conectado (APIs, SMTP, pasarelas de pago). Todas.
• Genera sales y claves nuevas en wp-config.php: usa el generador oficial de salts de WordPress para invalidar todas las sesiones y cookies activas de golpe.
• Regenera el prefijo de la base de datos: si era «wp_», considera cambiarlo en futuras restauraciones, ya que los bots lo buscan por defecto.
• Actualiza todo: núcleo, temas y plugins a sus últimas versiones. Y desinstala cualquier software abandonado sin actualizaciones recientes, aunque «parezca funcionar».
• Activa un firewall y 2FA: un WAF como el de Wordfence o Sucuri bloquea intentos de reinfección, y la autenticación en dos pasos protege el acceso de administradores.
• Desactiva la edición de archivos: añade define(‘DISALLOW_FILE_EDIT’, true); en wp-config.php para impedir que un atacante que llegue al panel pueda editar temas directamente.

Una vez reforzado el sitio, solicita una revisión en Google Search Console (si te marcaron como sitio peligroso) y mantente atento durante varias semanas por si aparece algún signo de reinfección. Tener un entorno de hosting con copias de seguridad automáticas diarias, como el que ofrece RedServicio, facilita muchísimo recuperarse si algo vuelve a fallar.

Conclusión: prevención y soporte para mantener tu WordPress limpio

El malware en WordPress es un problema serio. Pero con un método ordenado —diagnóstico, limpieza de archivos y base de datos, refuerzo de seguridad— cualquier webmaster puede recuperar su sitio con confianza. La clave, insisto, está en la prevención: núcleo, temas y plugins siempre actualizados; contraseñas fuertes y autenticación en dos pasos; copias de seguridad periódicas; y escaneos regulares para detectar anomalías a tiempo. Aburrido, sí. Eficaz, también.

Y un hosting de calidad es tu primera línea de defensa. En RedServicio encontrarás infraestructura optimizada para WordPress, certificados SSL, copias de seguridad automáticas y un soporte técnico 24/7 en español listo para ayudarte si tu web sufre una infección. Si prefieres no pelearte con la limpieza manual, nuestro equipo puede asesorarte en cada paso. Un WordPress bien protegido hoy es una web tranquila mañana.