Cuando webs no relacionadas bajo una misma cuenta muestran la misma redirección, archivo PHP o página spam, el usuario compartido del hosting es el límite probable del incidente. Limpiar cada panel por separado ignora sesiones de cPanel, usuarios FTP, cron y rutas escribibles comunes.
Contén toda la cuenta y conserva evidencias antes de restaurar las webs.
Confirma el patrón compartido
Registra dominios afectados, raíces documentales, primera y última detección, rutas y hashes. Compara cadenas del payload y destinos externos.
Los indicadores iguales sugieren un acceso común, pero no demuestran qué sitio fue el primero. Un dominio adicional vulnerable y una contraseña del panel robada pueden coexistir.
Incluye staging, dominios aparcados y subdirectorios en el inventario.
Coordina la contención con el hosting
Pide al proveedor que conserve logs de inicio cPanel, gestor de archivos, FTP o SFTP, cron y escáner. Revoca sesiones desconocidas y restringe PHP público donde haya páginas maliciosas activas.
Usa el canal verificado del proveedor, no enlaces de restablecimiento de avisos sospechosos.
Acuerda cómo funcionarán los avisos estáticos limpios y el acceso de recuperación.
Mapea la confianza de toda la cuenta
Inventa usuarios de cPanel, cuentas FTP, bases y usuarios, buzones y reenvíos, cron, claves SSH, zonas DNS y raíces de dominios adicionales.
Registra propietarios de archivos y si una web puede escribir en otra. Anidar varios sitios dentro de public_html suele ampliar el impacto de una aplicación comprometida.
No apliques permisos restrictivos arbitrarios sin entender el manejador PHP del hosting.
Conserva archivos y bases
Crea una instantánea de la cuenta con marcas de tiempo y exporta cada base. Guarda las evidencias fuera de todas las raíces públicas y restríngelas porque contienen datos personales, secretos y malware.
Conserva detecciones y hashes del proveedor. Analiza un duplicado.
No consideres limpias las copias creadas después del compromiso.
Limpia cada instalación alcanzable
Sustituye núcleo, plugins y temas desde fuentes verificadas, revisa código propio y elimina payloads de base, usuarios ocultos y tareas maliciosas.
Retira instalaciones olvidadas y ZIP o backups expuestos públicamente. Parchea o elimina el componente vulnerable original donde aparezca.
Un subdirectorio sin limpiar puede reinfectar todo lo reparado mediante la propiedad compartida.
Recupera el acceso a la cuenta
Asegura el correo y dispositivos del propietario, activa MFA, revoca sesiones y rota cPanel, FTP, SFTP, bases y WordPress.
Elimina cuentas compartidas y de antiguos proveedores. Actualiza automatizaciones de despliegue y backup antes de revocar los secretos anteriores.
Revisa buzones y reenvíos desconocidos capaces de recibir resets o enviar spam.
Revisa dominios y controles de recuperación
Los dominios adicionales pueden usar DNS dentro de cPanel mientras el registrador está fuera. Exporta las zonas, verifica nameservers, registros A, AAAA, CNAME y MX y elimina solo cambios maliciosos confirmados.
Comprueba contacto principal, direcciones de aviso y métodos de verificación con soporte. Si el atacante controla el buzón de recuperación, puede restablecer cPanel después de cada rotación.
Asegura ese correo por separado, revisa reenvíos y contraseñas de aplicación y pide al proveedor verificación reforzada. Documenta quién controla renovaciones y transferencias y activa bloqueo y alertas DNS cuando estén disponibles.
Mejora el aislamiento
Cuando el hosting lo permita, asigna a cada web importante un usuario o cuenta, credencial de base y acceso de despliegue separados. Mantén staging autenticado y backups fuera de la raíz web.
Si el plan de cPanel no puede aislar sitios, considera mover tiendas o captación crítica a cuentas diferentes después de limpiar.
El aislamiento limita el impacto futuro, pero no sustituye actualizaciones ni controles de acceso.
Verifica la estabilidad completa
Restaura una web cada vez. Prueba salida pública, formularios, correo y checkout autorizado y monitoriza hashes y accesos durante más tiempo que el intervalo de recurrencia.
Ejecuta cron, backups y despliegues normales para demostrar que no restauran artefactos infectados.
Cuándo se necesita limpieza urgente
Pide ayuda profesional si varias webs cambian a la vez o se solapan propietarios. Comparte la lista de dominios y los indicadores comunes, nunca credenciales de cPanel.
Una reparación completa recupera el límite de la cuenta, limpia todas las aplicaciones y demuestra que no reaparecen escrituras cruzadas.