En resumen: si su sitio WordPress muestra contenido ajeno, redirige o de pronto va lento, asuma que es grave y póngase en contacto ahora. Desde el primer mensaje nos encargamos de asegurar los rastros, bloquear accesos, buscar puertas traseras, limpiar el sitio y documentar el incidente. Todo en remoto, sin desplazamientos.
No borre nada ahora y no reinstale nada. Quien elimina plugins o restaura la copia de seguridad antes de asegurar las pruebas destruye los rastros de la intrusión. ¿Le afecta? Llame o escriba por WhatsApp, o utilice directamente Comunicar la emergencia.
¿Está hackeado su WordPress?
Un ataque a WordPress no siempre llama la atención. Estos indicios apuntan a un compromiso:
- Los visitantes son redirigidos a sitios ajenos, publicidad o tiendas falsas, a menudo solo desde el móvil o desde buscadores
- en Google aparecen páginas en su nombre con textos farmacéuticos, de juegos de azar o en idiomas extranjeros, véase Spam SEO en el índice de Google
- en el panel hay administradores que nadie ha creado, o de repente no se pueden restablecer las contraseñas
- en la carpeta
wp-content/uploadshay archivos.phpque no tienen nada que hacer allí (cómo interpretar estos hallazgos) - aparecen plugins o temas que nunca instaló, o desaparecen solos
- su proveedor de hosting informa de envío de spam o de carga alta, o bloquea el sitio
- el navegador o Google muestran una advertencia sobre su sitio
Más indicios a nivel de servidor figuran en ¿Ya estoy comprometido?.
Qué hacer ahora mismo
- Poner el sitio en modo de mantenimiento o desconectarlo de la red si los visitantes están en riesgo. Deje los archivos sin modificar.
- No desinstalar nada ni borrar archivos. Tampoco los plugins que parezcan sospechosos.
- Hacer que se aseguren los registros: pida a su proveedor de hosting que no sobrescriba los registros de acceso y de errores. La prensa especializada aconseja conservar los registros del servidor desde el 20/10/2026.
- Reunir los accesos: ¿quién tiene administración de WordPress, FTP, SSH, panel de hosting y base de datos? Anótelo, pero cambie las contraseñas solo tras consultarnos y desde un dispositivo limpio.
- Revisar los buzones de correo: la cuenta registrada como dirección de administrador en WordPress puede utilizarse para restablecer contraseñas.
- Informar a los implicados: dirección, delegado de protección de datos y, en su caso, la aseguradora.
- Póngase en contacto con nosotros antes de seguir interviniendo usted mismo.
¿Cómo ayuda PHP SOS con un sitio WordPress hackeado?
- Evaluar la situación: aclaramos lo que ve, qué plugins y temas están en funcionamiento, quién tuvo acceso y dónde está el servidor.
- Asegurar y cerrar: se aseguran archivos, base de datos y registros, se bloquean los accesos sospechosos y, si es necesario, se aísla el sitio.
- Revisar y limpiar: comparamos los archivos del núcleo con el original (cómo se hace lo explica este artículo), buscamos puertas traseras en plugins, temas, subidas y base de datos y las eliminamos. El procedimiento corresponde a nuestro servicio Eliminar malware y webshells.
- Reforzar e informar: se revisan el estado de PHP, los permisos, la protección del administrador y las actualizaciones. Recibe un informe con cronología, hallazgos y recomendaciones.
Actualización de WordPress frente a PHP2Shell: por qué no basta
Muchos operadores creen que con la última versión de WordPress todo está resuelto. No es así. PHP2Shell, es decir, CVE-2026-109618 y CVE-2026-109619, está en el intérprete de PHP sobre el que se ejecuta WordPress. Está corregido en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según Dr. Web, WordPress.org no prevé una actualización propia para ello. Lo decisivo es el entorno de ejecución de PHP de su servidor; más información en Por qué una actualización de WordPress no ayuda y en la página WordPress y PHP2Shell.
Igualmente: un parche de PHP no elimina el código malicioso que ya se haya introducido. Ambas cosas deben revisarse juntas.
Puertas traseras en WordPress: dónde se esconden
A los atacantes les gusta dejar accesos donde rara vez se mira: en los mu-plugins, en archivos del tema como functions.php, en carpetas de imágenes con doble extensión de archivo, en la tabla wp_options o en las tareas programadas de WordPress. Encontrará detalles y vías de revisión en Encontrar puertas traseras en WordPress. Tras la limpieza, todo acceso de administrador debería protegerse con una autenticación en dos factores.
Si Google o un navegador marcan su sitio como peligroso, eliminamos primero la causa y después le apoyamos en la revisión. El procedimiento se describe en Eliminar la advertencia de Google.
Cómo volvemos a publicar el sitio
Un sitio WordPress solo vuelve a la red cuando se han revisado los archivos del núcleo, los plugins y el tema, se han renovado las credenciales y las claves de la configuración y ya no existe ningún usuario sospechoso. Después revisamos el sitio público desde el punto de vista de un visitante, también desde el móvil, porque algunas redirecciones solo aparecen allí. A continuación recomendamos un control más estrecho durante las semanas siguientes. No se puede garantizar que el sitio no vuelva a ser atacado nunca, pero sí un estado documentado y revisado.
Qué debería enviarnos
- la dirección del sitio y, si se conoce, el proveedor de hosting
- desde cuándo y por qué notó algo
- capturas de pantalla de advertencias, redirecciones o cuentas de administrador ajenas
- una lista de los plugins y del tema, en la medida en que se conozcan
- el estado de la última copia de seguridad
Por favor, no envíe credenciales por correo sin que se las pidamos; acordamos con usted la vía segura.
Por qué PHP SOS
Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Usted tiene un único interlocutor que acompaña su caso desde el primer mensaje hasta el cierre. Trabajamos en remoto en toda Europa, documentamos cada paso y solo prometemos lo que puede cumplirse: trabajamos hasta que el incidente quede cerrado y documentado. Si pudieran estar afectados datos personales, el informe también le ayuda con la notificación del RGPD; la valoración jurídica corresponde a su delegado de protección de datos. El servicio completo se describe en la página Sitio web hackeado: ayuda de emergencia.
¿Le afecta? Llame. Le ayudamos.
Si su sitio WordPress se comporta de forma sospechosa, no espere a la próxima anomalía. Póngase en contacto ahora, por llamada o WhatsApp, y nos hacemos cargo desde el primer mensaje. Comunicar la emergencia ahora
Preguntas frecuentes
¿Basta con actualizar WordPress y todos los plugins si el sitio ha sido hackeado?
No. Una actualización cierra vulnerabilidades de cara al futuro, pero no elimina una puerta trasera que ya esté en el servidor. Además: la vulnerabilidad de PHP PHP2Shell está en el intérprete de PHP, no en WordPress. Según informes, WordPress.org no prevé una actualización propia para ello.
¿Puedo restaurar una copia de seguridad antigua y darlo por resuelto?
Solo con cautela. Quien no conoce el momento de la intrusión puede estar restaurando archivos ya infectados. Además, la puerta de entrada sigue abierta si nadie la ha encontrado. Primero asegurar, luego valorar, luego restaurar.
¿Cómo reconozco una cuenta de administrador invisible en WordPress?
Algunas cuentas no aparecen en la lista de usuarios porque el código malicioso filtra la salida. Una comparación directamente en la base de datos y el cotejo con las personas conocidas muestra más. Forma parte de la limpieza, que asumimos nosotros.
¿Por qué el código malicioso reaparece una y otra vez tras borrarlo?
Entonces suele haber una segunda puerta trasera o un mecanismo que vuelve a descargar archivos, por ejemplo una tarea programada o archivos manipulados en carpetas poco habituales. Quien borra solo los síntomas visibles combate la señal y no la causa.
¿Cuánto cuesta si Google marca mi sitio WordPress como peligroso?
Depende del alcance y del esfuerzo y solo puede decirse tras una primera valoración. Lo sensato es eliminar primero la causa y solicitar después la revisión a Google.