| Tipo | Mecanismo da falha | Sinal de exposição |
|---|---|---|
| Web shell | Arquivo PHP enviado por upload executa comandos remotos. | Plugin de upload desatualizado, como WP File Manager < 6.9. |
| Código injetado | Linha eval(base64_decode()) enxertada no functions.php. | Tema ou plugin nulled instalado de fonte pirata. |
| Admin fantasma | Usuário administrador criado direto no banco de dados. | Conta com nível admin que você não reconhece. |
| Cron malicioso | Tarefa agendada reinstala o malware após a limpeza. | WP-Cron com evento sem origem conhecida. |
Legenda: cada tipo de mecanismo de acesso oculto reabre o acesso por uma camada diferente do site.
## Por que o backdoor sobrevive à troca de senha Trocar a senha não remove um backdoor porque ele não usa a senha para reentrar. Na maior parte dos sites reinfectados que chegam ao suporte da FULL, o cliente já tinha trocado a senha 2 ou 3 vezes, e o backdoor continuava lá. O código malicioso está gravado em arquivo ou no banco, não na credencial. O motivo é simples: enquanto o arquivo existir, ele recria o acesso do invasor sozinho. Esse é o erro mais caro na resposta a uma invasão. A senha protege o login; o backdoor contorna o login. Por isso a ordem correta é primeiro encontrar e apagar o arquivo malicioso, depois trocar senhas e chaves. Quem inverte a sequência costuma reinfectar o site em horas. Se o seu site já foi comprometido, o passo a passo de o que fazer imediatamente após uma invasão detalha essa ordem com calma. ## Como um CVE vira porta de entrada para o backdoor A maioria dos backdoors entra por uma falha conhecida e já corrigida que o site nunca atualizou. O caso mais explorado é o CVE-2020-25213 no WP File Manager (CVSS 9.8): a versão < 6.9 deixava qualquer visitante enviar um arquivo PHP sem validação, gravando um web shell em wp-content. Em 2020, essa falha foi usada em massa para plantar backdoors em centenas de milhares de sites antes do patch chegar. Outro vetor recorrente é o CVE-2023-6825 no WP File Manager (CVSS 9.9), na versão < 7.2.2. Vale distinguir risco atual de histórico: segundo o perfil público do WPVulnerability, esses dois CVEs já estão corrigidos, então hoje o risco real é rodar a versão antiga, não o plugin em si. A regra é direta: plugin com upload, formulário ou editor de arquivos é o primeiro lugar onde um backdoor procura abrigo. ## Como detectar um backdoor escondido no site Detectar um backdoor exige procurar pelo comportamento, não só pelo nome do arquivo. Um scanner de integridade como o Wordfence ou o Sucuri SiteCheck compara seus arquivos com o núcleo oficial do WordPress e, em média, aponta o web shell como 1 arquivo PHP recente fora do padrão dentro de wp-content/uploads. Essa pasta nunca deveria conter código executável. Os sinais clássicos que a gente vê no suporte da FULL são três: funções como eval(), base64_decode() e gzinflate() empilhadas em uma linha só; um usuário administrador que ninguém criou; e horários de modificação de arquivo que não batem com nenhuma atualização sua. Fazer hardening de segurança e desativar a edição de arquivos pelo painel reduz a superfície que um backdoor pode usar para se gravar. ## Como remover um backdoor sem refazer o site Remover um backdoor é possível sem refazer o site do zero, desde que você o faça em 4 passos e a partir de uma base limpa. Primeiro, isole o site e tire um backup do estado atual só como evidência forense, nunca para restaurar. Depois substitua o núcleo do WordPress e todos os plugins por cópias oficiais baixadas de novo, o que apaga qualquer arquivo injetado nessas pastas de uma vez. O passo mais delicado é o functions.php do tema e o banco de dados, onde o código injetado costuma sobreviver. Compare cada arquivo com a versão original do tema e remova linhas com eval(base64_decode()). Para a limpeza completa de arquivos suspeitos, o guia de como remover malware do WordPress cobre o varejo. Só depois de o arquivo malicioso sumir é que você troca senhas, AUTH_KEY do wp-config.php e força logout de todas as sessões. ## A FULL inclui scanner de malware e segurança gerenciada no bundle A segurança gerenciada da FULL parte de um princípio: detectar o backdoor antes da reinfecção custa menos que limpar o site toda semana. O plano PRO sai por R$849 e cobre 10 sites, o que dá R$85 por site, com o All in One Security e o scanner de malware já no bundle. Em vez de pagar uma limpeza emergencial por incidente, você fica com o monitoramento contínuo rodando. Conheça os planos da FULL e compare com o custo de uma única reinfecção. Vale o contexto de autoridade aqui: a FULL é a única empresa brasileira credenciada como CNA (CVE Numbering Authority) sob a CISA desde , ou seja, está autorizada a atribuir IDs CVE oficiais. Quem escreve sobre backdoor por aqui literalmente cataloga vulnerabilidade. Para um diagnóstico rápido, o FULL Scan verifica seu site sem instalação, e o repositório de vulnerabilidades lista os CVEs por plugin.O backdoor é o código que garante a reentrada do invasor; o malware comum causa o dano visível. Essa é a diferença prática: o malware desfigura ou redireciona páginas, enquanto o backdoor fica silencioso só para reabrir a porta depois da limpeza. Um web shell PHP gravado em wp-content/uploads, detectável pelo Wordfence, é o exemplo clássico de backdoor.
Porque o backdoor não usa a sua senha para reentrar. O acesso vem de um arquivo PHP ou de um usuário admin gravado no banco, que existe independente da credencial. Na maior parte dos sites reinfectados que vemos no suporte da FULL, a senha já tinha sido trocada e o código malicioso continuava em disco.
O web shell é um tipo de backdoor, não um sinônimo: todo web shell é backdoor, mas nem todo backdoor é web shell. O web shell é o arquivo PHP que executa comandos remotos via navegador, como o plantado pelo CVE-2020-25213. O backdoor é a categoria ampla, que inclui também admin fantasma, cron malicioso e código eval() injetado no functions.php.
Sim, é possível na maioria dos casos, desde que feito na ordem certa. Substitua núcleo e plugins por cópias oficiais, audite o functions.php e o banco de dados, e só então troque senhas e a AUTH_KEY. Um scanner como Wordfence ou Sucuri SiteCheck acelera a localização do arquivo malicioso antes da limpeza manual.
Um backdoor pode ficar meses inativo sem disparar nenhum alerta, porque ele só age quando o invasor o aciona. Sites sem scanner de integridade costumam descobrir a infecção tarde, quando o Google já marcou o domínio. Um monitoramento contínuo reduz essa janela para horas em vez de meses.