Un backdoor en WordPress detectado recientemente es capaz de reconstruirse tras la limpieza usando la base de datos y memoria compartida. Esto complica su eliminación definitiva y afecta a los pipelines de producción creativa basados en WordPress para portfolios, blogs o documentación de proyectos. Estos entornos quedan expuestos a persistencia maliciosa incluso después de aplicar parches de seguridad.
Persistencia maliciosa en base de datos y memoria compartida 🛡️
El mecanismo de persistencia se apoya en dos vectores principales. Por un lado, el atacante inserta código malicioso en tablas de la base de datos, como opciones o metadatos, que el núcleo de WordPress lee durante su ejecución. Por otro, utiliza segmentos de memoria compartida, como shm o sysv, para almacenar copias del payload fuera del sistema de archivos. Cuando el administrador elimina los archivos infectados, el backdoor se regenera desde esos almacenes. La recomendación técnica incluye auditar permisos de archivos y directorios, monitorizar la memoria compartida con herramientas como ipcs o lsof, y considerar la migración a CMS estáticos o entornos aislados.
Tu WordPress se limpia solo, pero no como te gustaría 🔄
Aplicas el parche, borras los archivos sospechosos, pasas el antivirus y respiras tranquilo. Al día siguiente, el backdoor vuelve como si nada. No es magia, es persistencia maliciosa en la base de datos y la memoria compartida. Mientras tanto, tu portfolio sigue mostrando aquel plugin de galería que nunca instalaste. La seguridad no es un añadido posterior al flujo creativo, es parte del flujo. O migras a un CMS estático, o aprendes a convivir con un inquilino que no paga alquiler.