Sito WordPress hackerato o con malware: come pulirlo e metterlo in sicurezza

Le cause più comuni

• Plugin o temi non aggiornati con vulnerabilità note: è la porta d’ingresso più comune in assoluto.
• Temi e plugin «nulled» (versioni premium scaricate gratis): quasi sempre contengono codice malevolo.
• Password deboli o riutilizzate, senza autenticazione a due fattori.
• Altri siti infetti sullo stesso hosting o una versione di PHP obsoleta.

Come risolvere, passo per passo

1. 1

   1. Fai una scansione completa

   Installa Wordfence (o usa lo scanner del tuo hosting) e avvia una scansione con il confronto dei file del core, dei plugin e dei temi con le versioni ufficiali. Segnati tutti i file modificati o sconosciuti: sono la tua mappa. Controlla anche SiteCheck di Sucuri per vedere cosa vede un visitatore esterno.

2. 2

   2. Reinstalla il core di WordPress da zero

   Da Bacheca → Aggiornamenti → Reinstalla, oppure via FTP: scarica WordPress da wordpress.org, cancella le cartelle wp-admin e wp-includes e caricale pulite. Non toccare wp-content e wp-config.php.

3. 3

   3. Sostituisci plugin e temi con copie ufficiali

   Elimina tutti i plugin e i temi che non usi (anche disattivati: il codice resta sul server). Reinstalla gli altri scaricandoli da wordpress.org o dal venditore ufficiale. Qualsiasi plugin «nulled» va rimosso senza eccezioni.

4. 4

   4. Controlla utenti, file di configurazione e uploads

   Rimuovi gli amministratori che non riconosci. Apri wp-config.php, .htaccess e index.php e cerca codice offuscato (eval, base64_decode, stringhe lunghissime). Cerca file .php nella cartella wp-content/uploads: non dovrebbero essercene. Rigenera le chiavi di sicurezza in wp-config.php con il generatore ufficiale: scollega tutte le sessioni attive.

   // In wp-config.php, sostituisci il blocco AUTH_KEY … NONCE_SALT
   // con nuove chiavi generate su api.wordpress.org/secret-key/1.1/salt/

5. 5

   5. Se hai un backup pulito, valuta il ripristino

   Se sai quando è avvenuta l’infezione e hai un backup precedente, ripristinarlo e poi aggiornare tutto è spesso più sicuro di una pulizia manuale. Ma senza chiudere la vulnerabilità, l’infezione tornerà.

6. 6

   6. Chiedi la revisione a Google e all’hosting

   In Google Search Console → Sicurezza e azioni manuali richiedi la revisione dopo la pulizia: l’avviso «sito pericoloso» sparisce in genere entro qualche giorno. Se l’hosting aveva sospeso il sito, avvisali che è pulito.