Limpiar malware en WordPress desde cPanel | Guía práctica

[WARNING] Antes de empezar: este proceso requiere acceso a tu panel de control (cPanel) y algo de paciencia. Si tu sitio está completamente caído o no tienes experiencia, considera contratar a un profesional o contactar a tu proveedor de hosting. La seguridad es lo primero, y un error puede empeorar las cosas.

¿Tu sitio WordPress va lento, muestra anuncios extraños o redirige a páginas raras? Es muy probable que tengas malware. No entres en pánico: es un problema común y, con las herramientas adecuadas desde tu cPanel, puedes limpiarlo tú mismo. Este artículo es tu guía paso a paso para limpiar tu sitio, recuperar el control y blindarlo contra futuros ataques. Vamos a ello.

Paso 1: Diagnóstico y Preparación (Antes de Tocar Nada)

No puedes limpiar lo que no conoces. La prisa es mala consejera en ciberseguridad. Antes de borrar archivos, necesitas un plan.

1.1. Haz una Copia de Seguridad Completa (Sí o Sí)

Este es el paso más crítico. Si algo sale mal durante la limpieza, tu copia de seguridad es tu red de seguridad.

Entra a tu cPanel (normalmente en tudominio.com/cpanel).
Busca la sección "Archivos" y haz clic en "Copias de seguridad" o "Backup".
Realiza una "Copia de seguridad completa" del sitio. Esto descargará un archivo .tar.gz con todos tus archivos y la base de datos.

[TIP] Guarda esa copia en tu computadora y en un servicio en la nube (Google Drive, Dropbox). Nunca la guardes solo en el servidor.

1.2. Identifica el Problema: ¿Qué Tipo de Malware Tienes?

No todo el malware es igual. Para limpiar eficazmente, debes saber qué estás buscando.

Redirecciones maliciosas: El sitio te lleva a páginas de farmacia, casinos o pornografía.
Inyección de anuncios: Aparecen banners que tú no has puesto.
Puerta trasera (Backdoor): Un archivo oculto que permite al hacker volver a entrar. Es el más peligroso.
SEO Spam: Se crean páginas invisibles para los visitantes, pero llenas de enlaces a otros sitios (viagra, apuestas, etc.).

[INFO] La mayoría de las infecciones de WordPress se producen por plugins o temas desactualizados, contraseñas débiles o vulnerabilidades en el hosting. La limpieza es solo la mitad del trabajo; la otra mitad es prevenir.

Paso 2: Limpieza Manual en cPanel (Método del "Bisturí")

Si el malware no es extremadamente complejo, puedes eliminarlo manualmente. Este método te da control total.

2.1. Activa el "Modo Mantenimiento" o Desactiva Plugins

Para evitar que el malware siga ejecutándose mientras trabajas, lo mejor es "apagar" temporalmente WordPress.

Ve a "Administrador de Archivos" en tu cPanel.
Navega a la carpeta public_html (o htdocs, depende de tu hosting). Esta es la raíz de tu sitio.
Busca la carpeta wp-content.
Dentro de wp-content, renombra la carpeta plugins a plugins_old. Esto desactiva todos los plugins a la vez.

[WARNING] Si tu sitio depende de un plugin de caché, tu web se verá lenta durante unos minutos. Es normal. Si el malware estaba en un plugin, al renombrar la carpeta, el sitio puede volver a la normalidad.

2.2. Busca Archivos Sospechosos en el Administrador de Archivos

Vuelve a la raíz de public_html. Busca archivos con nombres extraños que no reconozcas.

Extensiones peligrosas: .php, .phtml, .php5, .suspected. Ten especial cuidado con archivos en la raíz que no sean index.php, wp-config.php o .htaccess.
Nombres raros: h4ck3r.php, shell.php, upload.php, tmp.php, wp-login.php.bak, etc.
Archivos con muchos permisos: Si ves archivos con permisos 777 (lectura, escritura y ejecución para todos), es una señal de alarma. Normalmente deben ser 644 o 755.

Haz clic derecho en el archivo sospechoso y selecciona "Editar". No toques nada, solo mira las primeras líneas de código. Si ves código ofuscado (como eval(base64_decode(...)) o gzinflate(...)), es malware. Elimínalo de inmediato.

2.3. Limpia el Archivo .htaccess

El archivo .htaccess es un objetivo común para los hackers. Pueden redirigir tu tráfico sin que te des cuenta.

En la raíz de public_html, busca el archivo .htaccess. Si no lo ves, activa la opción "Mostrar archivos ocultos" (suele ser un botón en la esquina superior derecha del Administrador de Archivos).
Haz clic derecho y selecciona "Editar".
Revisa el contenido. Un .htaccess de WordPress limpio suele tener unas 15 líneas y contiene reglas de reescritura de WordPress (el bloque # BEGIN WordPress).
Si ves líneas con dominios raros, reglas RewriteRule sospechosas o código ilegible, bórralo todo y pega este código limpio:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Guarda los cambios.

[INFO] Si tu WordPress está en una subcarpeta (ej: /blog), la línea RewriteBase debe reflejar esa ruta (ej: RewriteBase /blog/).

2.4. Inspecciona wp-config.php

Este archivo contiene las claves de acceso a tu base de datos. Es un objetivo crítico.

Ábrelo en el editor.
Busca líneas que definan DB_HOST, DB_NAME, etc. Deben tener pinta normal.
Ojo: Busca líneas con eval, base64_decode o cualquier función que no sea de configuración. Si ves algo raro, es un backdoor. Elimina esas líneas.
También busca definiciones de WP_DEBUG o WP_SITEURL que apunten a dominios extraños.

2.5. Limpia la Base de Datos (phpMyAdmin)

El malware no solo vive en archivos; también puede estar en tu base de datos (tablas wp_options, wp_posts, etc.).

Ve a la sección "Bases de Datos" en tu cPanel y haz clic en "phpMyAdmin".
Selecciona tu base de datos de WordPress (la que aparece en wp-config.php).
Haz clic en la pestaña "Buscar" (o "Search").
Busca términos comunes como eval(, base64_decode(, <script>, iframe, o el nombre de tu dominio (para ver si está inyectado en lugares raros).
Si encuentras resultados en wp_options, la opción más segura es editar la fila y eliminar el código malicioso. Si es en wp_posts, revisa el contenido.

[WARNING] Tocar la base de datos es delicado. Ve con calma. Si no estás seguro de lo que ves, no borres nada. Un borrado incorrecto puede romper tu sitio.

Paso 3: Restaurar Archivos "Limpios" desde la Copia de Seguridad

A veces, la limpieza manual es una guerra de desgaste. Si un archivo está muy infectado o no confías en él, la mejor opción es reemplazarlo por uno limpio.

3.1. Identifica los Archivos del Núcleo de WordPress

Los archivos del núcleo (wp-admin, wp-includes, y los archivos de la raíz) son fáciles de restaurar.

Descarga una copia nueva de WordPress desde es.wordpress.org (la misma versión que tienes instalada).
Descomprime el archivo en tu computadora.
Sube las carpetas wp-admin y wp-includes a tu public_html a través del Administrador de Archivos, sobrescribiendo las existentes.

[TIP] Esto no toca tu contenido (entradas, páginas) ni tus plugins. Solo reemplaza los archivos del sistema.

3.2. Reinstala Plugins y Temas

Si un plugin está infectado, no lo limpies; elimínalo y vuelve a instalarlo desde el repositorio oficial.

Ve a wp-content/plugins_old (la carpeta que renombraste).
Si identificas un plugin problemático, bórralo.
Renombra plugins_old de nuevo a plugins.
Ve al panel de administración de WordPress (/wp-admin) y actualiza o reinstala los plugins desde el repositorio.

Haz lo mismo con los temas en wp-content/themes. Si tu tema es premium, descárgalo de la página del desarrollador.

Paso 4: Escaneo Profundo y Prevención (La Segunda Mitad)

Ya has limpiado lo visible. Ahora, hay que asegurarse de que no queden puertas traseras y evitar que vuelva a pasar.

4.1. Cambia Todas tus Contraseñas

Este paso es obligatorio. El hacker pudo haber robado tus credenciales.

Cambia la contraseña de tu cPanel y de tu base de datos.
Cambia la contraseña del usuario administrador de WordPress.
Cambia las contraseñas de los usuarios con rol de Editor o Administrador.
Cambia las claves de seguridad en wp-config.php (las constantes AUTH_KEY, SECURE_AUTH_KEY, etc.). Puedes generar unas nuevas en api.wordpress.org/secret-key/1.1/salt/.

4.2. Instala un Plugin de Seguridad (Escudo)

Una vez limpio, es hora de blindarlo. Un buen plugin de seguridad actúa como un firewall y un escáner.

Wordfence Security: Es el más popular. Tiene firewall, escáner de malware y bloqueo de IPs.
Sucuri Security: Excelente para monitoreo de integridad de archivos y limpieza remota (aunque la versión premium es de pago).
iThemes Security: Ofrece más de 30 medidas de seguridad, como cambiar la URL de login y forzar autenticación de dos factores.

Instala uno, actívalo y haz un escaneo completo. Te dirá si hay archivos que no coinciden con el núcleo de WordPress.

4.3. Actualiza Todo y Elimina lo que no uses

La principal vía de entrada es el software desactualizado.

WordPress: Ve a Escritorio > Actualizaciones y actualiza el núcleo.
Plugins y Temas: Actualiza todos los que estén en uso. Elimina los que no uses. Un plugin inactivo es una puerta abierta.

4.4. Refuerza tus Archivos .htaccess y wp-config.php (Opcional pero Recomendado)

Puedes añadir reglas para bloquear la ejecución de archivos PHP en carpetas donde no deberían estar.

Añade esto al final de tu .htaccess para desactivar la ejecución de PHP en las carpetas de uploads:

<FilesMatch "\.(?i:php)$">
<IfModule mod_authz_core.c>
Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
Order allow,deny
Deny from all
</IfModule>
</FilesMatch>

Preguntas Frecuentes (FAQ)

¿Cuánto tiempo lleva limpiar un malware en WordPress?

Depende de la gravedad. Una infección leve (SEO spam) puede llevar 30 minutos. Una infección compleja con backdoors puede llevar varias horas o incluso un día entero. La paciencia es clave.

¿Qué pasa si no tengo acceso a cPanel?

Si tu sitio está completamente bloqueado y no puedes entrar al cPanel, contacta a tu proveedor de hosting. Ellos pueden restaurar una copia de seguridad o darte acceso de emergencia. Algunos ofrecen servicios de limpieza de malware pagados.

¿Puedo usar herramientas de limpieza automática desde cPanel?

Sí, algunos hosts tienen herramientas integradas (como "Malware Scanner" o "Imunify360" en cPanel). Son útiles como primer paso, pero no son infalibles. La limpieza manual que has aprendido aquí es mucho más fiable.

¿Es necesario cambiar el usuario administrador de WordPress?

No es obligatorio, pero sí recomendable. Si tu usuario se llama "admin", es la primera contraseña que probarán los bots. Crea un nuevo usuario con rol de Administrador y elimina el antiguo.

Mi sitio sigue lento después de limpiar, ¿qué hago?

Puede que el malware haya dejado archivos basura o que tengas demasiados plugins. Revisa los recursos de tu hosting en cPanel (sección "Métricas"). Si el problema persiste, el malware podría estar en un nivel más profundo (en el servidor, no en WordPress).

Conclusión

Limpiar malware de WordPress desde cPanel puede parecer intimidante, pero es un proceso lógico y metódico. Has aprendido a hacer una copia de seguridad, a usar el Administrador de Archivos para eliminar archivos maliciosos, a limpiar tu base de datos y a blindar tu sitio. La clave está en la prevención: mantén todo actualizado, usa contraseñas fuertes y no instales plugins de fuentes dudosas.

Recuerda que la seguridad es un proceso continuo, no un destino. Revisa tu sitio periódicamente con tu plugin de seguridad y mantén las buenas prácticas. Si en algún momento te sientes abrumado, no dudes en buscar ayuda profesional. Tu tranquilidad y la de tus visitantes lo vale.