Recupero WordPress compromesso
Bonifica e ripristino di un sito WordPress hackerato.
Analisi di core, plugin, temi, upload, utenti, database, cron, chiavi e hosting per rimuovere persistenze e riportare il sito a uno stato verificabile.
La risposta in breve
Quando serve: Redirect, pagine spam, nuovi amministratori, file PHP negli upload, avvisi di malware o reinfezione dopo una pulizia.
Cosa valuto: Integrità del core, differenze nei componenti, mu-plugin, wp-config, database, cron, utenti, chiavi di sicurezza, hosting e altri siti dello stesso account.
Come iniziare: Conserva una copia e i log; indica versione, avvisi, data del primo sintomo, backup disponibili e operazioni già tentate.
WordPress può essere ripulito solo dopo aver distinto file affidabili e dati da preservare
Sostituire il core è utile, ma non basta se la persistenza è in un plugin, nel tema, negli upload, nel database, in un cron o in un account amministratore. Anche la macchina usata per FTP o il pannello hosting può reinserire credenziali compromesse.
È il servizio adatto quando
- File core che non corrispondono alla versione installata.
- PHP sospetti in wp-content/uploads o directory temporanee.
- Plugin, mu-plugin o temi non riconosciuti.
- Amministratori, application password o chiavi API sconosciute.
- Opzioni, widget o contenuti con script e redirect estranei.
- WP-Cron o cron di sistema che ricreano file rimossi.
Controlli WordPress specifici
Le verifiche cambiano in base al sito. Queste sono le aree che più spesso devono essere distinte prima di intervenire.
Integrità del core
Confronto con i checksum e sostituzione dei file non attendibili.
Plugin e temi
Origine, versioni, vulnerabilità note e differenze rispetto ai pacchetti puliti.
Upload e database
File eseguibili, opzioni, contenuti, utenti e script inseriti nei dati.
Accessi e cron
Amministratori, application password, chiavi, WP-Cron e cron server.
Hosting condiviso
Altri siti, account FTP/SFTP, pannello e dispositivi amministrativi.
Come si svolge il lavoro
Copia e log
Preservo stato, database e log prima della bonifica.
Inventario e confronto
Identifico componenti legittimi e modifiche non autorizzate.
Pulizia e sostituzione
Ripristino core e componenti da fonti attendibili, pulendo dati e persistenze.
Rotazione credenziali
Aggiorno password, chiavi e token dopo aver ridotto il rischio di reinfezione.
Test e monitoraggio
Controllo login, moduli, email, cron, sitemap e nuovi file.
Cosa ricevi
Installazione ripulita
File e dati malevoli individuati rimossi o sostituiti.
Accessi verificati
Utenti, password, chiavi e token controllati.
Flussi testati
Frontend, amministrazione, moduli e attività pianificate.
Prevenzione
Aggiornamenti, backup, MFA e monitoraggio.
Approfondimenti utili
Pagine collegate allo stesso ambiente tecnico, selezionate per continuare il percorso senza duplicare l’intento.
Domande frequenti
È sufficiente ripristinare un backup?
Non sempre. Il backup può essere precedente all’attacco, ma può anche contenere file già alterati. Prima del ripristino occorre valutarne data, integrità e distanza temporale dai primi indicatori di compromissione.
Il sito deve essere messo offline?
Dipende dal rischio. Se distribuisce malware, esfiltra dati, invia spam o altera pagamenti, il contenimento ha priorità. In altri casi può essere possibile limitare l’accesso mantenendo una pagina di servizio.
Puoi garantire che il sito non verrà più attaccato?
Nessun intervento può azzerare il rischio. Il lavoro serve a rimuovere le persistenze individuate, correggere la causa nota, ridurre la superficie esposta e predisporre monitoraggio e procedure di aggiornamento.
Gestisci anche incidenti con dati personali o pagamenti?
Posso intervenire sul sito e sull’infrastruttura tecnica. Quando l’incidente coinvolge dati personali, carte o obblighi di notifica, è necessario coordinarsi anche con responsabili privacy, legali, provider di pagamento e specialisti di sicurezza qualificati.
Passo successivo
WordPress mostra malware, redirect o utenti sospetti?
Indica URL, sintomo, data, backup e accessi disponibili. Evita di sovrascrivere l’installazione prima di conservare una copia.