Una tarea programada sospechosa es solo media incidencia. Borrar una entrada cron es temporal si un plugin, MU plugin, opción o proceso externo todavía la registra de nuevo.
Inventaría los hooks programados antes de borrar nada
Registra nombre del hook, próxima ejecución, recurrencia y propietario del callback. Compara la lista con plugins instalados y tareas conocidas. Un nombre desconocido no prueba malware: importan procedencia y comportamiento.
Separa una tarea maliciosa de un job legítimo huérfano
- Sigue el callback hasta el archivo o clase que lo registra.
- Comprueba cuándo apareció respecto al incidente.
- Revisa si escribe archivos, crea usuarios o llama a servicios remotos inesperados.
- Mira si el mismo hook se recrea inmediatamente después de eliminarlo.
Conserva el calendario y el escritor antes de retirarlos
Haz snapshot del evento y del código relacionado. Si está causando efectos perjudiciales, contiene su ejecución pero conserva suficiente evidencia para identificar quién lo creó.
Elimina tanto el evento como la vía que lo registra
- Desactiva o elimina el escritor malicioso confirmado.
- Desprograma el evento con APIs compatibles con WordPress.
- Reinstala o actualiza componentes afectados desde fuentes fiables.
- Rota credenciales si el callback utilizaba acceso privilegiado.
Busca persistencia complementaria
Los callbacks programados suelen trabajar con loaders en mu-plugins o persistencia en wp_options. Si alguna de esas vías sigue activa, el cron puede volver.
No desactives WP-Cron globalmente como “limpieza”
Puedes detener backups, publicaciones programadas, tareas de WooCommerce y mantenimiento legítimo sin eliminar el código que registra el evento.
Verificación durante varios ciclos
El hook malicioso debe seguir ausente tras peticiones y ejecuciones programadas normales, los jobs legítimos deben funcionar y no deben reaparecer archivos, opciones o usuarios asociados con el callback antiguo.