WordPress hackeado: qué hacer ahora mismo para recuperar tu web

Entras y te lleva a una web de apuestas, farmacia o estafas. Ojo: muchas redirecciones solo ocurren en el móvil o cuando llegas desde Google. Si entras escribiendo tu dirección en el ordenador, no ves nada y piensas que está bien. Los clientes, en cambio, sí lo ven.

Para comprobarlo, simula la visita desde Google con un móvil:

curl -sIL -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)" \
  -e "https://www.google.com/" https://tudominio.com | grep -i "^location"

Si aparece un Location: hacia un dominio que no es el tuyo, tienes la redirección.

Un aviso rojo en el navegador (“Sitio engañoso”) o debajo de tu resultado en Google (“Este sitio puede estar en peligro”). Puedes ver el detalle en Search Console → Seguridad y acciones manuales → Problemas de seguridad.

Busca esto en Google y mira qué sale:

site:tudominio.com

Si aparecen páginas de medicamentos, casinos o textos en japonés que no son tuyas, hay spam indexado. Revisa también Usuarios en el panel: ¿hay administradores que no conoces?

Es el síntoma más angustioso y tiene solución. Los atacantes suelen cambiar tu contraseña o crear otro administrador, y los hostings suspenden las cuentas que envían spam. Es recuperable: lo importante es no empezar a borrar cosas.

Es el paso que casi nadie hace y el que evita que vuelva a pasar. Tres comprobaciones:

a) Archivos modificados recientemente

find . -type f -name "*.php" -mtime -7 -not -path "./wp-content/cache/*"

b) Archivos PHP donde no debería haber ninguno (la carpeta de subidas solo debe tener imágenes y documentos)

find wp-content/uploads -type f -name "*.php"

c) Peticiones sospechosas en los logs de acceso del servidor (peticiones POST a archivos que no son los habituales)

grep '"POST ' /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head -20

Cruza la fecha del primer archivo modificado con la actividad de los logs y con la versión de tus plugins en ese momento. Casi siempre aparece un plugin o tema vulnerable, o un acceso con contraseña robada.

Solo sirve si la copia es anterior a la primera señal de infección (el archivo más antiguo que has encontrado en el paso 1). Si la copia es posterior, restauras el malware con ella.

Después de restaurar, aplica los pasos 3 al 6: la vulnerabilidad sigue abierta.

No basta con “actualizar”. Hay que sustituir todos los archivos, porque el malware puede estar camuflado dentro de ellos:

wp core verify-checksums
wp plugin verify-checksums --all
wp core download --force --skip-content
wp plugin install nombre-del-plugin --force

Los plugins de pago se descargan de nuevo desde la web del fabricante. Borra los que no uses: un plugin desactivado también es una puerta.

El malware se esconde en:

• wp-config.php, index.php y .htaccess.
• Archivos .php dentro de wp-content/uploads.
• La carpeta wp-content/mu-plugins, que WordPress carga sin que aparezca en la lista de plugins.
• Tareas programadas (cron): wp cron event list.
• La base de datos: scripts inyectados en entradas, y direcciones cambiadas en la tabla de opciones.

wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%<script%' OR post_content LIKE '%base64_decode%' LIMIT 20;"

(El prefijo wp_ puede ser otro en tu instalación.)

Si el código está ofuscado o no sabes qué es, no lo borres a ciegas: puedes romper la web o dejar una puerta trasera.

wp user list --role=administrator
wp user delete ID_DEL_USUARIO_SOSPECHOSO --reassign=ID_TU_USUARIO
wp config shuffle-salts

Regenerar las claves secretas (salts) cierra todas las sesiones abiertas, incluida la del atacante. Cambia también las contraseñas de todos los usuarios y activa la verificación en dos pasos en los administradores.

Aunque alguien consiga subir un archivo, no podrá ejecutarlo.

Apache (wp-content/uploads/.htaccess):

<FilesMatch "\.(php|phtml|php\d)$">
  Require all denied
</FilesMatch>

nginx (en el bloque server, antes del location que procesa los .php):

location ~* ^/wp-content/uploads/.*\.(php|phtml|php\d?)$ {
    deny all;
}

Recarga nginx tras comprobar la configuración con nginx -t.

1. Comprueba que ya no queda nada: vuelve a mirar site:tudominio.com.
2. En Search Console → Seguridad y acciones manuales → Problemas de seguridad, pulsa “Solicitar revisión” y explica brevemente qué has hecho.
3. Las URLs de spam deben dar error 404 o 410. Para acelerar su retirada del buscador, usa la herramienta Eliminaciones de Search Console.

La revisión suele tardar entre unos días y un par de semanas. Regenerar el sitemap, que es lo único que muchos tutoriales proponen, no quita el aviso.

Es la causa más común. Una vulnerabilidad pública en un plugin se explota de forma automática en miles de webs en pocas horas. Si no actualizas, es cuestión de tiempo. Un plugin que su autor ya no mantiene es igual de peligroso.

En abril de 2026, más de 30 plugins del autor EssentialPlugin recibieron una puerta trasera tras un cambio de propietario. Los usuarios los actualizaron con normalidad y el código malicioso entró con la actualización. El malware podía seguir oculto en archivos como wp-config.php aunque después se actualizara el plugin.

Es un ejemplo de por qué no basta con “tener todo al día”.

Última revisión de esta sección: 21 de octubre de 2026. Esta sección se actualiza con los incidentes nuevos. Fuente: TechCrunch, 14 de abril de 2026.

El usuario admin, la misma clave que usas en otras webs, el acceso que se le dio a un sobrino, a una agencia o a un programador que ya no trabaja contigo. Cada acceso sin revocar es una puerta abierta.

Descargar gratis un tema o plugin de pago desde una web de terceros es uno de los orígenes más frecuentes del malware. Casi siempre traen código malicioso incluido. El ahorro de 50 € sale caro.

1. Análisis del punto de entrada (logs, archivos, plugins, accesos).
2. Limpieza de archivos y base de datos, incluidas puertas traseras.
3. Refuerzo de seguridad: usuarios, claves, bloqueo de PHP en subidas, actualización de todo.
4. Solicitud de revisión en Google y retirada de las páginas de spam.
5. Informe final en lenguaje claro: qué pasó, por dónde entraron y qué he cambiado.

Trabajo sobre una copia del estado actual, así que siempre hay marcha atrás.

Puedo ofrecerlo porque no me limito a borrar lo que se ve: busco por dónde entraron y lo cierro. Si en ese plazo vuelve a entrar por la misma vía que cerré, no pagas otra vez. No cuenta si después instalas un plugin vulnerable, descargas un tema «nulled» o compartes tus accesos.

La mayoría de hackeos se repiten cuando nadie vigila la web. Con el mantenimiento web WordPress tendrás actualizaciones con pruebas, copias diarias fuera del servidor y monitorización 24/7. Es opcional, pero es lo que evita volver a esta página.