Pasaste el escáner, borraste los archivos y el sitio parecía limpio. Y volvió.

Es una de las experiencias más frecuentes —y más desesperantes— después de un hackeo. Instalas un plugin de seguridad, pasas el escáner, te marca unos archivos sospechosos, los borras. Las páginas de spam desaparecen. La redirección se corta. El sitio se ve normal otra vez.

Dos días después está todo igual que antes.

No es mala suerte ni hiciste nada mal. Es que, en 2026, el enfoque de «escanear y borrar» ya no se corresponde con la forma en que funciona el malware de WordPress.

Cómo funciona hoy el malware en WordPress

Hace años, una infección solía ser un puñado de archivos maliciosos en una carpeta. Borrabas los archivos y se acabó el problema. Esa época terminó.

El informe State of WordPress Security in 2026 de Patchstack, elaborado junto a la firma de inteligencia de malware Monarx, documenta un giro claro hacia malware sigiloso y persistente, diseñado específicamente para sobrevivir a la limpieza. El malware actual no se queda quieto esperando a que lo borres: hace tres cosas que derrotan al enfoque estándar.

Se esconde en archivos legítimos. En vez de dejar un archivo malicioso evidente, inyecta su código en archivos que tienen que estar ahí: el functions.php del tema, un archivo del núcleo, un plugin legítimo. Un escáner que busca «archivos malos» ve un archivo normal de WordPress y sigue de largo.

Se guarda en la base de datos. Una parte importante de las infecciones actuales vive en las tablas wp_options y wp_posts, no en archivos. Puedes borrar todos los archivos marcados y la infección sigue funcionando desde la base de datos.

Planta puertas traseras. Esta es la clave. El atacante siempre deja una vía de vuelta: código escondido que le permite reinstalar la infección entera cuando le apetezca. Si se te escapa una, el malware regresa.

Por qué los plugins de seguridad no lo ven

Son herramientas útiles, pero tienen limitaciones estructurales a la hora de eliminar:

La detección por firmas se esquiva. Los plugins reconocen malware comparándolo con una base de patrones conocidos. Los atacantes modifican su código de forma rutinaria precisamente para no coincidir. Una variante recién modificada sencillamente no encaja con ninguna firma.

Los escáneres no pueden juzgar intenciones. Cuando el código malicioso está inyectado dentro de un archivo legítimo, el escáner se enfrenta a una pregunta imposible: ¿esta modificación es legítima u hostil? La mayoría opta por no tocar el archivo para no romper el sitio, con lo que la inyección sobrevive.

La base de datos suele quedar fuera. Muchos escáneres se centran en archivos y prestan poca o ninguna atención al contenido malicioso guardado en la base de datos.

El resultado es el que describe Patchstack: hay bastantes probabilidades de que un sitio infectado vea cómo el malware «se reescribe» después de una limpieza, porque los mecanismos de persistencia nunca se tocaron.

Qué elimina de verdad el malware actual

Una limpieza que aguante exige trabajar en todas las capas donde la infección puede esconderse:

Revisión manual del sistema de archivos. Cada archivo PHP —núcleo, plugins, temas, subidas— revisado en busca de código inyectado y ofuscado, no solo comparado contra una lista de firmas.

Limpieza de la base de datos. Las tablas wp_options, wp_posts y relacionadas inspeccionadas y limpiadas de contenido inyectado y de entradas de configuración maliciosas.

Eliminación completa de puertas traseras. Cada mecanismo que el atacante dejó para volver a entrar, localizado y eliminado. Esta es la diferencia entre una limpieza que aguanta y una que falla a las 48 horas.

Cerrar la vía de entrada. La vulnerabilidad original —el plugin sin actualizar, la contraseña floja, el archivo expuesto— parcheada, para que el mismo ataque no se repita sin más.

Verificación en el tiempo. Confirmar que el sitio sigue limpio y vigilar las señales de que vuelve.

La conclusión honesta

Si te hackearon el sitio, pasar el escáner de un plugin y borrar lo que marque es una primera mirada razonable, pero tomarlo como arreglo definitivo es lo que mete a tanta gente en el bucle de reinfección. El malware actual está construido específicamente para sobrevivir a ese enfoque.

Una limpieza a fondo es trabajo detallado y manual: revisar cada capa, eliminar cada puerta trasera y cerrar la puerta por la que entraron.

Si lo que estás viendo son redirecciones concretas, tenemos una guía sobre por qué tu WordPress redirige a otra web. Y si no tienes claro si estás infectado, aquí van las 12 señales de que tu WordPress tiene malware.

Cómo lo hacemos en WPSecureGuard

Con más de 25 años asegurando webs en WordPress y PHP, nuestro proceso de limpieza está construido justamente alrededor de los mecanismos de persistencia que derrotan al «escanear y borrar». Revisamos a mano el sistema de archivos, limpiamos la base de datos, perseguimos todas las puertas traseras y parcheamos la vía de entrada; después verificamos que el sitio sigue limpio.

El servicio Recovery (199 € en pago único) incluye limpieza completa y eliminación de puertas traseras, con inicio dentro de las 48 horas; no cubre reinfecciones. Recovery Now (349 €) arranca en menos de 2 horas, 24/7, y suma blindaje completo más garantía de 30 días contra reinfección: si vuelve la misma vía de ataque dentro de ese plazo, lo arreglamos sin coste.

Si tu sitio se reinfecta una y otra vez, vamos a cortar el ciclo. →