Seu WordPress foi invadido? Como verificar e limpar

Sinais para observar

• Redirecionamentos para sites de spam ou golpes, muitas vezes só para visitantes no celular ou vindos do Google.
• Um CAPTCHA falso pedindo que os visitantes apertem teclas ou colem um comando.
• Usuários administradores que você não criou ou plugins que você não instalou.
• Páginas de spam numa pesquisa site:yourdomain.com.
• Avisos no Search Console ou no Safe Browsing.

1. Primeiro, o backup

Baixe os arquivos e o banco de dados antes de mudar qualquer coisa. Você pode precisar das evidências e de uma cópia segura.

2. Verifique usuários e arquivos do núcleo com o WP-CLI

wp user list --role=administrator
wp core verify-checksums
wp plugin verify-checksums --all

O verify-checksums compara seus arquivos com os oficiais do WordPress.org. Plugins premium não estão no WordPress.org e não podem ser verificados assim; reinstale-os a partir do fornecedor.

3. Procure PHP onde não deveria haver

find wp-content/uploads -type f -name "*.php"
find . -type f -name "*.php" -mtime -7

4. Limpe e feche a porta

• Reinstale o núcleo do WordPress e todos os plugins e temas a partir de cópias limpas. Apague os que você não usa.
• Remova administradores desconhecidos. Troque todas as senhas: hospedagem, SFTP, banco de dados, todos os administradores.
• Substitua as chaves de segurança no wp-config.php por novas, geradas no gerador de chaves do WordPress.org. Isso desconecta todo mundo.
• Ative as atualizações automáticas e a autenticação de dois fatores para os administradores.

5. Peça uma revisão ao Google

No Search Console → Problemas de segurança, marque os problemas como corrigidos e solicite uma revisão.

Depois, reforce o site com o checklist de reforço do WordPress.