Meta-descripci\u00f3n: Aprende a limpiar instalaciones WordPress hackeadas con WP-CLI, identificar archivos maliciosos, regenerar seguridad y recuperar el control.<\/p>\n
Cuando una instalaci\u00f3n de WordPress ha sido comprometida, cada minuto cuenta. Los atacantes no solo pueden modificar archivos del core, sino tambi\u00e9n insertar puertas traseras, crear usuarios ocultos, alterar la base de datos y dejar persistencia para volver a entrar m\u00e1s tarde.<\/p>\n
En ese escenario, WP-CLI se convierte en una herramienta especialmente \u00fatil porque permite actuar r\u00e1pido, con precisi\u00f3n y sin depender del entorno gr\u00e1fico. Si ya has trabajado con comandos b\u00e1sicos, en esta gu\u00eda iremos un paso m\u00e1s all\u00e1: c\u00f3mo usar WP-CLI para limpiar una web hackeada<\/strong>, reducir riesgos y dejarla preparada para una revisi\u00f3n m\u00e1s profunda.<\/p>\n Este art\u00edculo parte de una idea importante: limpiar no siempre significa \u201cvolver a instalar todo\u201d de inmediato. A veces conviene primero aislar el alcance del incidente<\/strong>, identificar vectores de entrada y eliminar el malware con m\u00e9todo. Si a\u00fan no dominas los fundamentos de la consola, puedes revisar antes Primeros pasos con WP-CLI: comandos b\u00e1sicos explicados<\/a> y C\u00f3mo usar WP-CLI en scripts bash<\/a>.<\/p>\n La primera regla ante una intrusi\u00f3n es no empeorar la situaci\u00f3n. Si el sitio sigue online, lo m\u00e1s prudente es ponerlo en mantenimiento o restringir el acceso temporalmente. Despu\u00e9s, crea una copia de la base de datos y del sistema de archivos antes de limpiar nada.<\/p>\n Ese respaldo no debe pensarse como \u201cla copia buena\u201d, sino como evidencia. Puede servir para comparar cambios, rastrear inyecciones y documentar qu\u00e9 se alter\u00f3. Si necesitas un flujo ordenado de backup, enlaza con C\u00f3mo hacer un backup de WordPress con WP-CLI<\/a> y C\u00f3mo exportar e importar la base de datos con WP-CLI<\/a>.<\/p>\n Estos comandos no limpian por s\u00ed solos, pero te ayudan a construir una l\u00ednea base. En incidentes reales, registrar el estado inicial ahorra tiempo cuando hay que decidir qu\u00e9 borrar, qu\u00e9 reinstalar y qu\u00e9 revisar manualmente.<\/p>\n Un hackeo en WordPress suele dejar rastros reconocibles: archivos PHP en directorios de im\u00e1genes, plugins desconocidos, usuarios administradores sin explicaci\u00f3n, tareas programadas extra\u00f1as o contenido inyectado en entradas y opciones del sitio.<\/p>\n Con WP-CLI puedes inspeccionar varios frentes sin abrir el panel. El objetivo es detectar anomal\u00edas, no confiar en \u201cparece normal\u201d. Una instalaci\u00f3n comprometida puede verse funcional y, aun as\u00ed, estar sirviendo c\u00f3digo malicioso en segundo plano.<\/p>\n Si encuentras usuarios que no reconoces, elim\u00ednalos con cuidado solo despu\u00e9s de asegurar que no formen parte de la recuperaci\u00f3n leg\u00edtima. Para profundizar en este punto, te puede servir C\u00f3mo crear y gestionar usuarios con WP-CLI<\/a>.<\/p>\n Tambi\u00e9n conviene revisar si hay plugins vulnerables o desactualizados que hayan servido como vector de entrada. Si quieres reforzar ese proceso, consulta C\u00f3mo detectar plugins vulnerables con WP-CLI<\/a> y C\u00f3mo mejorar la seguridad de WordPress con WP-CLI<\/a>.<\/p>\n Una de las medidas m\u00e1s eficaces en una limpieza es reinstalar los archivos del core. Si el atacante modific\u00f3 el n\u00facleo, esta acci\u00f3n restaura los binarios oficiales sin tocar la base de datos ni el contenido.<\/p>\n Esta t\u00e9cnica es especialmente \u00fatil porque los ataques suelen combinan persistencia en archivos y base de datos. Reinstalar el core no resuelve todo, pero s\u00ed elimina una gran parte del riesgo si el compromiso estaba localizado en ficheros del sistema.<\/p>\n El comando verify-checksums<\/strong> es muy valioso para detectar archivos alterados. Si aparecen diferencias, no las ignores: pueden revelar backdoors, shells o modificaciones maliciosas. En caso de despliegues o procesos repetidos, tambi\u00e9n vale la pena revisar Comandos avanzados de WP-CLI que debes conocer<\/a>.<\/p>\n No todo archivo \u201craro\u201d es malware, pero en una instalaci\u00f3n hackeada hay patrones muy frecuentes. Busca scripts PHP en carpetas donde no deber\u00edan existir, archivos con fechas de modificaci\u00f3n extra\u00f1as, nombres aleatorios o contenido ofuscado con funciones como base64_decode<\/strong>, eval<\/strong> o cadenas largas aparentemente sin sentido.<\/p>\n WP-CLI no es un antivirus, as\u00ed que aqu\u00ed combina consola con revisi\u00f3n manual. El valor del CLI est\u00e1 en ayudarte a inventariar, localizar y automatizar b\u00fasquedas de forma mucho m\u00e1s r\u00e1pida que navegando carpeta por carpeta.<\/p>\n Si encuentras archivos maliciosos en directorios de subida, estatica o cache, elimina primero la copia local y documenta la ruta. En casos complejos, puede ser necesario revisar tambi\u00e9n permisos y propietarios de archivos, algo que ya se relaciona con Problemas de permisos con WP-CLI en Linux<\/a>.<\/p>\n Muchos ataques a WordPress no se limitan a archivos. Tambi\u00e9n alteran la base de datos para insertar scripts, redirecciones, contenido spam o claves que permiten reinfectar el sitio tras una limpieza superficial.<\/p>\n Con WP-CLI puedes inspeccionar contenido y opciones sin depender del administrador web. Esto es clave cuando el panel est\u00e1 comprometido, inaccesible o alterado por el atacante.<\/p>\n Si el ataque dej\u00f3 contenido inyectado en entradas, widgets o ajustes del tema, puede ser \u00fatil combinar Un detalle importante: eliminar cadenas sospechosas sin entender su prop\u00f3sito puede romper el sitio. Siempre valida qu\u00e9 hace cada cambio antes de ejecutar reemplazos en producci\u00f3n.<\/p>\n Una limpieza real no termina al borrar malware. Hay que asumir que las credenciales pudieron quedar expuestas. Cambia contrase\u00f1as de administradores, revisa claves de la base de datos, regenera secretos de autenticaci\u00f3n y elimina cuentas que no formen parte del equipo.<\/p>\n Este paso es crucial porque muchos atacantes mantienen acceso mediante usuarios ocultos o tokens reutilizables. Si solo limpias archivos, pero no cambias accesos, la reinfecci\u00f3n suele ser cuesti\u00f3n de tiempo.<\/p>\n Despu\u00e9s de esto, revisa plugins y temas, elimina los que no uses y actualiza todo lo que quede activo. Si necesitas una estrategia de endurecimiento posterior, consulta tanto C\u00f3mo forzar actualizaciones autom\u00e1ticas con WP-CLI<\/a> como C\u00f3mo auditar una instalaci\u00f3n de WordPress desde consola<\/a>.<\/p>\n Una vez limpiado el sitio, no des por hecho que ya est\u00e1 listo. Haz una verificaci\u00f3n funcional: inicio de sesi\u00f3n, carga de p\u00e1ginas cr\u00edticas, formularios, enlaces permanentes, tareas programadas y logs del servidor. La limpieza t\u00e9cnica debe ir acompa\u00f1ada de una observaci\u00f3n durante varios d\u00edas.<\/p>\n Si dispones de un backup previo al incidente y detectas corrupci\u00f3n extendida, a veces la opci\u00f3n m\u00e1s segura es restaurar desde una copia \u00edntegra y luego aplicar hardening. En despliegues m\u00e1s grandes, incluso puedes automatizar parte del proceso con Despliegues autom\u00e1ticos de WordPress con WP-CLI<\/a> o revisar casos de C\u00f3mo migrar un WordPress completo usando WP-CLI<\/a>.<\/p>\n En resumen, WP-CLI no sustituye a una investigaci\u00f3n de seguridad, pero s\u00ed acelera enormemente el trabajo de contenci\u00f3n, diagn\u00f3stico y recuperaci\u00f3n. Usado con m\u00e9todo, te permite limpiar instalaciones hackeadas con m\u00e1s control y menos fricci\u00f3n que el panel tradicional.<\/p>\n Documentaci\u00f3n oficial de WP-CLI<\/a><\/p>\nAntes de tocar nada: contenci\u00f3n y copia forense<\/h2>\n
Comandos \u00fatiles para congelar el estado<\/h3>\n
# Exporta una copia de la base de datos antes de intervenir\nwp db export respaldo-incidente.sql\n\n# Lista plugins y temas para documentar el estado actual\nwp plugin list\nwp theme list\n\n# Revisa usuarios existentes\nwp user list\n<\/code><\/pre>\nBuscar se\u00f1ales comunes de compromiso<\/h2>\n
Revisar usuarios, plugins y temas<\/h3>\n
# Busca cuentas con privilegios elevados\nwp user list --role=administrator\n\n# Identifica plugins no esperados\nwp plugin list --status=active\n\n# Comprueba la lista de temas instalados\nwp theme list\n<\/code><\/pre>\nReinstalar el core de wordpress para devolver integridad<\/h2>\n
Reinstalaci\u00f3n segura del core<\/h3>\n
# Reinstala los archivos principales de WordPress\nwp core download --force\n\n# Verifica integridad del core si el entorno lo permite\nwp core verify-checksums\n<\/code><\/pre>\nLimpiar archivos sospechosos con criterio<\/h2>\n
Controlar archivos y patrones sospechosos<\/h3>\n
# Lista archivos recientes en el directorio actual\nfind . -type f -mtime -7\n\n# Busca funciones t\u00edpicas de ofuscaci\u00f3n en el c\u00f3digo PHP\ngrep -RIn --include=\"*.php\" \"base64_decode\\|eval\\|gzinflate\" .\n\n# Detecta cambios respecto a los checksums del core\nwp core verify-checksums\n<\/code><\/pre>\nLimpiar la base de datos: usuarios ocultos, inyecciones y opciones maliciosas<\/h2>\n
Revisar contenido y opciones sensibles<\/h3>\n
# Busca una cadena sospechosa en opciones y contenido\nwp db search \"base64_decode\"\n\n# Revisa entradas sospechosas en la tabla de opciones\nwp option list --search=\"%\" --format=table\n\n# Exporta la base de datos para an\u00e1lisis externo\nwp db export copia-analisis.sql\n<\/code><\/pre>\nwp db search<\/code> con consultas m\u00e1s espec\u00edficas. En escenarios de migraci\u00f3n o restauraci\u00f3n, la gu\u00eda de C\u00f3mo buscar y reemplazar URLs en WordPress con WP-CLI<\/a> tambi\u00e9n ayuda a entender c\u00f3mo operan los cambios masivos en la base de datos.<\/p>\nRestablecer credenciales y cerrar la puerta de entrada<\/h2>\n
Acciones recomendadas despu\u00e9s de la limpieza<\/h3>\n
# Lista usuarios administradores\nwp user list --role=administrator\n\n# Elimina un usuario sospechoso por ID\nwp user delete 12 --reassign=1\n\n# Cambia la contrase\u00f1a de un usuario administrador\nwp user update 1 --user_pass=\"NuevaClaveMuyFuerte\"\n<\/code><\/pre>\nVerificaci\u00f3n final y restauraci\u00f3n progresiva<\/h2>\n
Fuentes y lecturas recomendadas<\/h3>\n