WordPress invadido: como recuperar, limpar e proteger

WordPress concentra 40%+ da web — e também a maioria dos ataques automatizados

WordPress invadido costuma começar com plugin desatualizado, senha fraca de admin, tema nulled (pirata) ou XML-RPC aberto. Bots injetam shells PHP, spam pharma nos footers e redirecionamentos condicionais (só Googlebot vê conteúdo diferente).

Como saber se seu WordPress foi invadido

• Usuários administradores desconhecidos em Usuários → Todos.
• Plugins ativos que você não instalou (nomes genéricos: “WordPress Helper”).
• Arquivos em wp-content/uploads/ com extensão .php (proibido em upload legítimo).
• Site lento — cron malicioso ou mineração em background.
• Google marca “Este site pode prejudicar seu computador”.

Passo a passo de recuperação

1. Modo manutenção — plugin maintenance ou .maintenance; evite tráfego baixar malware.
2. Backup forense — zip do site + export SQL antes de limpar (opcional para análise).
3. Trocar senhas — admin WP, FTP, banco, hosting. Chaves AUTH em wp-config regeneradas.
4. Desativar plugins — renomeie pasta wp-content/plugins via FTP; reative um a um após scan.
5. Reinstalar core — Painel → Atualizações → Reinstalar WordPress (não apaga uploads).
6. Auditar tema — child theme limpo; descarte tema nulled.
7. Scan do banco — busque eval(, base64_decode em wp_options (widget_text, siteurl home se alterados).
8. Verificar cron — wp cron events suspeitos; desabilite wp-cron externo se abusado.
9. Atualizar tudo — core, plugins, PHP na hospedagem compatível.
10. Plugins de segurança — Wordfence, Solid Security ou equivalente; WAF na hospedagem.

Quando reinstalar do zero

Se backdoors estão em múltiplas camadas (must-use plugins, wp-includes adulterado, dropper no banco), instalação limpa + restore de conteúdo de backup auditado é mais barato que caça infinita. Migre mídia e posts exportados; não importe usuários suspeitos.

Prevenção contínua

• Manutenção mensal contratada (guia de manutenção).
• Login com 2FA; bloquear xmlrpc.php se não usa Jetpack/mobile app legado.
• Permissões: wp-config 440, diretórios 755, arquivos 644.
• Backups diários off-site, testados trimestralmente.

Contato ITC — WordPress invadido

Limpeza profissional, staging e monitoramento pós-incidente.

• WhatsApp (51) 98143-8470
• Hospedagem WordPress · Orçamento