WordPress · 8 min de lectura
WordPress hackeado con malware: cómo limpiarlo y evitar reinfecciones
Guía operativa para detectar malware en WordPress, limpiar el incidente y usar WAFLY para bloquear nuevas explotaciones antes del servidor.
Publicado el 8 de julio de 2026 · Equipo de seguridad de WAFLY
Cuando una web WordPress muestra redirecciones extrañas, enlaces farmacéuticos, ventanas emergentes o avisos de Google, el problema rara vez se limita a borrar unos ficheros. La limpieza importa, pero la prioridad real es cortar la reinfección.
Por qué WordPress se infecta una y otra vez
WordPress concentra mucho volumen de internet y eso lo convierte en objetivo rentable. Los atacantes automatizan el escaneo de plugins vulnerables, temas abandonados, paneles expuestos, credenciales filtradas y formularios sin control. Si encuentran una ruta de entrada, suben código, crean usuarios ocultos o dejan puertas traseras que sobreviven a una limpieza superficial.
El síntoma visible suele ser SEO spam, redirecciones a dominios externos, consumo anómalo de CPU o correos salientes. Pero el origen puede estar en una petición concreta que explotó una vulnerabilidad conocida hace días o semanas.
Qué revisar antes de limpiar
- Plugins y temas: elimina lo que no se usa y actualiza lo imprescindible.
- Usuarios administradores: revisa altas recientes, correos desconocidos y roles modificados.
- Ficheros modificados: compara fechas, hashes y ubicaciones sospechosas como uploads con PHP ejecutable.
- Logs de acceso: busca peticiones POST raras, errores 500 y llamadas a endpoints de plugins.
Cómo ayuda WAFLY
WAFLY coloca una capa de inspección delante de WordPress. El WAF gestionado bloquea patrones de explotación comunes antes de que lleguen al servidor, la inteligencia de vulnerabilidades ayuda a priorizar reglas para CVEs relevantes y la protección frente a malware aporta señales para contener actividad sospechosa.
Limpiar sin filtrar deja la misma puerta abierta. Filtrar en el borde reduce la probabilidad de que el incidente se repita.
Plan operativo recomendado
- Pon el sitio en modo observación con WAFLY para ver qué rutas reciben ataques.
- Actualiza WordPress, plugins, tema y credenciales.
- Elimina puertas traseras y ficheros no esperados.
- Activa bloqueo en reglas que no generen falsos positivos.
- Cierra el servidor para aceptar tráfico solo desde WAFLY.
La limpieza recupera la web. La capa de borde hace que el siguiente intento no vuelva a impactar directamente en PHP, base de datos y panel de administración.