Antes que nada: una copia completa, fuera del servidor
Una prueba, no un punto de restauración. Descarga los archivos y la base de datos en tu computadora o envíalos a un almacenamiento externo, antes de tocar nada. Si el sitio está pirateado, esta copia también lo está: no sirve para retroceder, sino para comparar, fechar la intrusión y mostrar al proveedor de alojamiento o a un prestador de servicios lo que se encontró. No elimines nada antes de haber terminado de revisar.
1. Actualizar, conectándote directamente
Conéctate a la administración de cada sitio, no desde UpdraftCentral. Es la primera indicación de TeamUpdraft, el editor. Luego, tras la copia, actualiza en este orden.
WordPress. La última versión es la 7.1.3, lanzada el 6 de octubre de 2026 con siete parches de seguridad. Si tu sitio sigue en una rama antigua, toma al menos su última versión, por ejemplo 7.0.7, 6.9.10 o 6.8.11, que recibieron los mismos parches. Un sitio que no recibió el parche del 22 de septiembre (7.1.2, 7.0.6, 6.9.9 o 6.8.10 según la rama) sigue expuesto a la vulnerabilidad del núcleo explotada desde ese día.
UpdraftPlus. Actualiza a la 1.26.13, o 2.26.13 para la versión Premium, lanzadas el 19 de octubre por la noche. Evita la 1.26.12 publicada el mismo día: debido a un error, no revocaba las claves.
Las otras extensiones y la plantilla. Realiza todas las actualizaciones propuestas. Si usas Ninja Forms, verifica que estés al menos en la 3.15.4; Bricksforge, en la 3.1.8.10; Elementor Pro, en la 4.2.2.
PHP. El 21 de octubre, PHP corrigió dos vulnerabilidades críticas que las actualizaciones de WordPress no solucionan. Pide a tu proveedor de alojamiento una versión corregida (8.5.12, 8.4.27, 8.3.36 o 8.2.35), o verifica la tuya con mi herramienta dedicada.
Actualizar cierra la puerta. No elimina nada de lo que ya está dentro: ese es el objetivo de las seis verificaciones siguientes.
2. Las cuentas que pueden instalar extensiones
No solo mires a los administradores. Las falsas extensiones de octubre de 2026 crean una cuenta de Editor y le añaden dos permisos: gestionar ajustes e instalar extensiones. En la lista de cuentas, aparece como un Editor común. Los nombres detectados por Patchstack, Nethemba e IT-Connect siguen el mismo patrón: dos palabras y dos o tres números (data-ops43, media-staff96, content-ops71), con «Site Tools» como nombre mostrado y una dirección en @example.org o @example.com.
Qué hay que hacer. Abre Cuentas, Todas las cuentas, y revisa cada Editor y cada Administrador: quién lo creó, cuándo, con qué dirección. Una cuenta que nadie reconoce se elimina, después de cambiar tu propia contraseña. Atención: algunas variantes se conectan con el primer administrador existente en lugar de crear una cuenta, y la cuenta oculta permanece incluso cuando la extensión desaparece.
3. Las extensiones, incluido el apartado «Indispensables»
En el panel de administración. Extensiones, Extensiones instaladas: busca una extensión que no hayas instalado. Las descripciones detectadas parecen de mantenimiento («Kit de herramientas de mantenimiento pequeño: mantiene el almacenamiento de opciones ordenado», «Ayudante de mantenimiento»), con nombres como «Site Health Cache» o carpetas con sufijos aleatorios (load-stack-35c, site-health-364f, type-stack-285). Patchstack ha detectado 99 nombres distintos. Revisa también el apartado «Indispensables» (Must-Use en inglés), que casi siempre se olvida.
En el servidor. Algunas variantes se ocultan de la lista. Abre el gestor de archivos de tu alojamiento o un cliente FTP, y revisa tres carpetas: wp-content/plugins, wp-content/mu-plugins y wp-content/upgrade. Esta última guarda una copia de los paquetes instalados, incluso cuando la instalación falló. Una carpeta reciente que no reconoces es sospechosa.
No la elimines desde el panel de administración. Nethemba, que descubrió el ataque, recomienda desactivar la extensión y luego mover su carpeta fuera del sitio: la eliminación desde el panel de administración ejecuta su script de desinstalación, que borra sus rastros. Y si una página muestra un error «Constante no definida», no corrijas el código: la primera variante estaba rota, y repararla activaría la puerta trasera.
4. La clave UpdraftCentral
Dónde encontrarla. Ajustes, UpdraftPlus, pestaña Herramientas avanzados, UpdraftCentral. Si hay una clave allí, el sitio puede recibir comandos remotos. Elimina todas las claves de la lista de claves existentes, no solo el sitio en tu panel de UpdraftCentral: quitar el sitio del panel no elimina la clave.
¿Nunca la activaste? Revisa igual. La casilla que añade el sitio a UpdraftCentral está marcada por defecto al vincular UpdraftPlus a una cuenta TeamUpdraft, y estas claves no caducan. Con acceso por línea de comandos, el comando `wp option get updraft_central_localkeys` responde algo si existe una clave. El procedimiento completo, incluyendo copias de seguridad, está en mi guía UpdraftPlus.
5. Los archivos .php en wp-content/uploads
Esta carpeta solo debe contener imágenes y documentos. Sucuri lo recuerda en sus guías: un archivo .php, .js o .ico en uploads es sospechoso. Las campañas del otoño los dejaron en lugares específicos: wp-content/uploads/elementor/forms para Elementor Pro, wp-content/uploads/bricksforge/tmp para Bricksforge. En el gestor de archivos del alojamiento, busque « .php » en la carpeta uploads; en línea de comandos, find wp-content/uploads -name ".php" los lista.
6. Google Search Console
Tres pantallas para abrir. Seguridad y acciones manuales, Problemas de seguridad: Google señala allí un sitio pirateado. Configuración, Usuarios y permisos: un propietario que no conoce es una señal clásica del pirateo por palabras clave japonesas, que también añade sus propios sitemaps. Páginas: un repentino aumento en el número de páginas indexadas. Y en Google, una búsqueda site:votredominio.fr muestra las páginas que no escribió.
7. Los registros de acceso del alojamiento
Lo que hay que buscar. Su alojamiento da acceso a los registros del servidor. Para UpdraftCentral, Nethemba detecta solicitudes POST en la página de inicio con el agente « WordPress/6.4; class-udrpc.php ». Para la conexión por enlace secreto, solicitudes a la página de inicio con un parámetro de 32 caracteres: una respuesta 302 indica una conexión probablemente exitosa, una respuesta 500 una variante rota aún instalada. El registro de UpdraftPlus también conserva el rastro de los comandos recibidos, en forma de « Command received: plugin.upload_plugin ». Las direcciones IP no sirven como filtro: Patchstack vio al atacante cambiar de infraestructura en menos de un día.
Si encuentra algo
Cambie todo, dos veces. Las contraseñas de cada administrador, del FTP, de la base de datos, del alojamiento y de la cuenta TeamUpdraft, escribiendo la dirección usted mismo en lugar de hacer clic en un enlace recibido por correo. Luego las claves secretas de wp-config.php, que cierran todas las sesiones abiertas. Repita una vez finalizada la limpieza y reinicie la autenticación en dos pasos.
Restaure si persiste la duda. Una copia de seguridad de antes del 17 de octubre, y luego la clave UpdraftCentral eliminada nuevamente: una copia de esa fecha aún la contiene. Los pasos están en mi guía de restauración.
Piense en los datos personales. Si el sitio conserva cuentas de clientes, pedidos o formularios, una intrusión debe notificarse a la CNIL en 72 horas tan pronto como represente un riesgo para las personas.
No vuelva a conectar UpdraftCentral de inmediato. Patchstack recomienda esperar a que el editor explique el origen de la fuga.
Preguntas frecuentes
Mi sitio está actualizado: ¿estoy afectado?
Para UpdraftCentral, sí, si el sitio tenía una clave activa: el sitio de IT-Connect, en UpdraftPlus Premium 2.26.11, recibió el comando el 19 de octubre a las 7:17. Para Ninja Forms o Bricksforge, una versión corregida cierra la puerta, pero no elimina una cuenta ya creada.
¿Cuánto tiempo toman estas verificaciones?
Unas horas en un sitio sano, con acceso a la administración y al alojamiento. Si hay que limpiar o restaurar, cuenta con más tiempo.
¿Hay que ser desarrollador?
No para las seis primeras verificaciones: la administración de WordPress, el gestor de archivos del alojamiento y la Search Console son suficientes. Los registros y la línea de comandos requieren más experiencia.
¿Habría bastado con una extensión de seguridad?
Wordfence o Sucuri ayudan a detectar los archivos modificados y bloquean parte de los ataques, pero un comando firmado con una clave real de UpdraftCentral parece legítimo.
¿Prefiere que lo haga yo?
Realizo estas verificaciones desde dentro, limpio si es necesario, cambio las claves y las contraseñas, actualizo todo y le escribo lo que se ha hecho: diagnóstico gratuito en 24 horas, presupuesto antes de cualquier intervención. El procedimiento y los precios de la actualización están en la página de intervención remota.
Fuentes: incidente de seguridad de octubre de 2026, TeamUpdraft, claves UpdraftCentral comprometidas y puertas traseras, Patchstack, análisis de la puerta trasera, Nethemba, el sitio de IT-Connect fue afectado el 19 de octubre, campaña XSS por Ninja Forms, Patchstack, falla de Bricksforge explotada, Patchstack, vulnerabilidad en el núcleo CVE-2026-87902, Patchstack, WordPress 7.1.3, WordPress.org, fallas de PHP del 21 de octubre, Sucuri, spam de palabras clave en japonés, Sucuri.
