Um WordPress hackeado se resolve numa ordem fixa: isolar, diagnosticar e só então restaurar. Segundo a WPScan (2025), há mais de 50 mil vulnerabilidades catalogadas em plugins e temas. O risco real não é o sintoma visível, é o backdoor escondido. Confirme por evidência antes de apagar qualquer arquivo.

Um WordPress hackeado quase nunca avisa com um alerta na tela: ele aparece como redirecionamentos estranhos, páginas de spam indexadas ou um aviso do Google Search Console. A causa de origem costuma ser um plugin desatualizado ou uma senha fraca, mas o sintoma quase nunca está onde a invasão começou. Você vê o redirecionamento para um site de farmácia e o backdoor está num arquivo escondido em wp-content. Por isso, num WordPress hackeado, sair apagando arquivo no susto piora o quadro: o invasor mantém mais de um ponto de retorno. Neste guia, a gente segue a sequência que o suporte da FULL usa nos tickets de invasão e que vale tanto para site institucional quanto para loja WooCommerce. Para o panorama do tema, veja os guias de segurança WordPress da FULL.

Diagnóstico rápido: Sintoma e causa raiz

O diagnóstico de um WordPress hackeado começa cruzando o sintoma visível com a causa provável antes de tocar em qualquer arquivo. Os três sinais que mais aparecem nos tickets de invasão da FULL são redirecionamento externo, arquivos PHP novos na pasta uploads e queda brusca de tráfego no Search Console por aviso de malware. Identificar a linha certa economiza horas de limpeza às cegas.

A tabela abaixo mapeia os sintomas contra a causa raiz e a primeira ação corretiva.

Se ainda houver dúvida, o FULL Scan faz uma varredura externa gratuita e cruza os arquivos do site com a base de assinaturas, apontando código malicioso conhecido sem instalar nada.

Como confirmar um WordPress hackeado por evidência

Antes de limpar, confirme por evidência: boa parte dos chamados de “site hackeado” que chegam ao suporte da FULL acaba sendo falso positivo, gerado por cache do navegador, plugin de SEO mal configurado ou aviso antigo do antivírus. A confirmação de um WordPress hackeado depende de três fontes cruzadas, não de uma só impressão. Sem essa checagem, você limpa um site que nunca foi invadido e perde tempo.

Comece pelo Google Search Console, na seção Problemas de Segurança: segundo a documentação do Google Search Central, que define como o buscador sinaliza sites comprometidos, esse relatório mostra se o Google detectou conteúdo invadido. Depois rode o Sucuri SiteCheck, scanner externo gratuito que verifica blacklist e injeções no HTML. Por fim, compare a data de modificação dos arquivos do core: qualquer arquivo alterado fora de uma atualização oficial é suspeito. Em 2026, a varredura externa pega a maioria das injeções de redirecionamento, mas deixa passar backdoors ofuscados.

Legenda: o Search Console confirma a invasão pela ótica do Google e ainda lista as URLs que precisam de limpeza prioritária.

Como limpar um WordPress hackeado passo a passo

A limpeza segura de um WordPress hackeado leva de 2 a 6 horas num site de porte médio e segue uma ordem rígida: isolar, fazer backup do estado atual, restaurar arquivos limpos e revisar o banco. Pular o backup do estado infectado é o erro que mais gera retrabalho no suporte da FULL, porque sem ele você perde a evidência do backdoor.

Isole o site e faça backup do estado atual

Ative o modo de manutenção para tirar o site do ar de visitantes e bots de busca enquanto trabalha. Em seguida, gere um backup completo dos arquivos e do banco mesmo infectado: ele serve de referência forense. Um backup só vale como salvação se estiver fora do servidor invadido, então baixe a cópia para outro lugar antes de continuar.

Restaure o Core e os plugins de fontes oficiais

Substitua os arquivos do core do WordPress por uma cópia limpa baixada de WordPress.org, preservando apenas wp-config.PHP e a pasta wp-content depois de inspecionada. Reinstale cada plugin e tema a partir do repositório oficial, nunca de versões nulled: a causa raiz de boa parte das reinfecções é justamente o tema pirata, que carrega o backdoor de fábrica. O passo a passo detalhado está em restaurar o WordPress a partir do backup.

Limpe o banco de dados e os uploads

Varra wp-content/uploads atrás de arquivos .PHP, que não deveriam existir ali, e inspecione as tabelas wp_options e wp_posts em busca de scripts injetados e iframes ocultos. O WPScan ajuda a cruzar a versão dos plugins com vulnerabilidades conhecidas. Para a remoção fina do código malicioso, o procedimento completo está em como remover malware do WordPress, que cobre os padrões de ofuscação mais comuns.

Por que o WordPress hackeado reinfecta após a limpeza

O WordPress hackeado reinfecta porque a limpeza tratou o sintoma e deixou o backdoor: remover o redirecionamento sem caçar o ponto de retorno é como trancar a porta da frente com a janela aberta. No suporte da FULL, a reincidência em poucos dias é um padrão recorrente, e a causa quase sempre é a mesma. A varredura padrão não inspeciona todos os esconderijos que o invasor usa.

Em sites com tema nulled e mais de 20 plugins, o backdoor costuma ficar num arquivo .ico disfarçado ou num must-use plugin dentro de wp-content/mu-plugins, que o scanner comum ignora. Some-se a isso o cron job malicioso: o invasor agenda um wp-cron que recria os arquivos apagados horas depois da limpeza. Por isso, depois de limpar, revise os usuários administradores, troque todas as chaves do wp-config.PHP e confira as tarefas agendadas. Entender as razões pelas quais sites WordPress são hackeados ajuda a fechar a brecha certa, não só a aparente.

Como evitar que o WordPress seja hackeado de novo

Manter o WordPress atualizado reduz em grande parte a superfície de ataque, porque a maioria das invasões explora vulnerabilidades já corrigidas em versões mais novas de plugins e temas. A prevenção real combina hardening, firewall e limite de login, em vez de depender de um único plugin mágico. Cada camada cobre uma falha que a outra deixa passar.

Comece com um firewall de aplicação. O Wordfence oferece firewall em tempo real e varredura agendada; o All in One Security entrega hardening, limite de tentativas de login e bloqueio por país. Plugin desatualizado com vulnerabilidade conhecida mais um bot de varredura automática resulta em injeção de shell PHP em poucos minutos, então a atualização automática de segurança é a defesa de maior retorno. Configure também a proteção contra força bruta: senha de admin reutilizada somada à ausência de limite de tentativas leva a acesso por força bruta em poucas horas. Quem prefere o guia completo encontra o caminho em como configurar o Wordfence.

Quanto custa blindar o site com a FULL

A FULL inclui o plugin All in One Security em todos os planos, do Essential ao PRO, dentro do bundle de 17 plugins premium que sai a partir de R$849 por ano no plano PRO. Diluído na carteira de sites de uma agência, isso representa cerca de R$85 por site por ano para ter firewall, limite de login e hardening configurados, em vez de pagar licença avulsa de cada ferramenta. A gente vê no suporte que quem trata segurança como assinatura, e não como conserto de emergência, raramente volta com o mesmo site invadido. Como única CNA brasileira reconhecida sob a CISA, a FULL acompanha CVEs oficiais e aplica a correção antes do bot encontrar a brecha. Conheça o plano PRO em FULL.services/planos para ver o bundle completo.

Perguntas frequentes sobre WordPress hackeado

Próximos passos para blindar o site WordPress

Recuperar um WordPress hackeado é uma sequência, não um clique: confirme o WordPress hackeado por evidência, isole o site, faça backup do estado infectado, restaure a partir de fontes limpas e só então reabra ao público. O erro que mais custa é parar na limpeza visível e ignorar o backdoor, porque é ele que traz o malware de volta. Depois de recuperar, trate a prevenção como rotina: atualização automática, firewall com limite de login e backup externo testado.

Se quiser uma verificação imediata, rode o FULL Scan agora e consulte o repositório de vulnerabilidades para saber se algum plugin do seu site já tem CVE conhecido, com base nos dados oficiais de mais de 12 mil vulnerabilidades catalogadas. Para aprofundar a detecção e a recuperação, o passo a passo de um site WordPress hackeado e o guia de site invadido: o que fazer imediatamente cobrem os cenários mais delicados. Para continuar aprendendo segurança, o FULL Academy reúne tutoriais, guias e checklists em um só lugar.