| Sintoma visível | Causa raiz provável | Ação corretiva imediata |
|---|---|---|
| Redirecionamento para sites de spam | Injeção de JavaScript em arquivos de tema ou no banco | Ativar modo de manutenção e varrer wp_options e header.PHP |
| Páginas de farmácia indexadas | Pharma hack via shell PHP em uploads | Procurar arquivos .PHP em wp-content/uploads |
| Admin novo desconhecido | Acesso por força bruta ou backdoor ativo | Remover o usuário e trocar todas as senhas |
| Aviso de malware no Google | Conteúdo malicioso já rastreado pelo bot | Limpar e pedir revisão no Search Console |
| Site lento e CPU no limite | Script de mineração ou envio de spam | Checar processos e logs de acesso do servidor |
Legenda: o Search Console confirma a invasão pela ótica do Google e ainda lista as URLs que precisam de limpeza prioritária.
## Como limpar um WordPress hackeado passo a passo A limpeza segura de um WordPress hackeado leva de 2 a 6 horas num site de porte médio e segue uma ordem rígida: isolar, fazer backup do estado atual, restaurar arquivos limpos e revisar o banco. Pular o backup do estado infectado é o erro que mais gera retrabalho no suporte da FULL, porque sem ele você perde a evidência do backdoor. ### Isole o site e faça backup do estado atual Ative o modo de manutenção para tirar o site do ar de visitantes e bots de busca enquanto trabalha. Em seguida, gere um backup completo dos arquivos e do banco mesmo infectado: ele serve de referência forense. Um backup só vale como salvação se estiver fora do servidor invadido, então baixe a cópia para outro lugar antes de continuar. ### Restaure o Core e os plugins de fontes oficiais Substitua os arquivos do core do WordPress por uma cópia limpa baixada de WordPress.org, preservando apenas wp-config.PHP e a pasta wp-content depois de inspecionada. Reinstale cada plugin e tema a partir do repositório oficial, nunca de versões nulled: a causa raiz de boa parte das reinfecções é justamente o tema pirata, que carrega o backdoor de fábrica. O passo a passo detalhado está em restaurar o WordPress a partir do backup. ### Limpe o banco de dados e os uploads Varra wp-content/uploads atrás de arquivos .PHP, que não deveriam existir ali, e inspecione as tabelas wp_options e wp_posts em busca de scripts injetados e iframes ocultos. O WPScan ajuda a cruzar a versão dos plugins com vulnerabilidades conhecidas. Para a remoção fina do código malicioso, o procedimento completo está em como remover malware do WordPress, que cobre os padrões de ofuscação mais comuns. ## Por que o WordPress hackeado reinfecta após a limpeza O WordPress hackeado reinfecta porque a limpeza tratou o sintoma e deixou o backdoor: remover o redirecionamento sem caçar o ponto de retorno é como trancar a porta da frente com a janela aberta. No suporte da FULL, a reincidência em poucos dias é um padrão recorrente, e a causa quase sempre é a mesma. A varredura padrão não inspeciona todos os esconderijos que o invasor usa. Em sites com tema nulled e mais de 20 plugins, o backdoor costuma ficar num arquivo .ico disfarçado ou num must-use plugin dentro de wp-content/mu-plugins, que o scanner comum ignora. Some-se a isso o cron job malicioso: o invasor agenda um wp-cron que recria os arquivos apagados horas depois da limpeza. Por isso, depois de limpar, revise os usuários administradores, troque todas as chaves do wp-config.PHP e confira as tarefas agendadas. Entender as razões pelas quais sites WordPress são hackeados ajuda a fechar a brecha certa, não só a aparente. ## Como evitar que o WordPress seja hackeado de novo Manter o WordPress atualizado reduz em grande parte a superfície de ataque, porque a maioria das invasões explora vulnerabilidades já corrigidas em versões mais novas de plugins e temas. A prevenção real combina hardening, firewall e limite de login, em vez de depender de um único plugin mágico. Cada camada cobre uma falha que a outra deixa passar. Comece com um firewall de aplicação. O Wordfence oferece firewall em tempo real e varredura agendada; o All in One Security entrega hardening, limite de tentativas de login e bloqueio por país. Plugin desatualizado com vulnerabilidade conhecida mais um bot de varredura automática resulta em injeção de shell PHP em poucos minutos, então a atualização automática de segurança é a defesa de maior retorno. Configure também a proteção contra força bruta: senha de admin reutilizada somada à ausência de limite de tentativas leva a acesso por força bruta em poucas horas. Quem prefere o guia completo encontra o caminho em como configurar o Wordfence. ## Quanto custa blindar o site com a FULL A FULL inclui o plugin All in One Security em todos os planos, do Essential ao PRO, dentro do bundle de 17 plugins premium que sai a partir de R$849 por ano no plano PRO. Diluído na carteira de sites de uma agência, isso representa cerca de R$85 por site por ano para ter firewall, limite de login e hardening configurados, em vez de pagar licença avulsa de cada ferramenta. A gente vê no suporte que quem trata segurança como assinatura, e não como conserto de emergência, raramente volta com o mesmo site invadido. Como única CNA brasileira reconhecida sob a CISA, a FULL acompanha CVEs oficiais e aplica a correção antes do bot encontrar a brecha. Conheça o plano PRO em FULL.services/planos para ver o bundle completo.Confirme cruzando três fontes: o Google Search Console na aba Problemas de Segurança, um scanner externo como o Sucuri SiteCheck e a data de modificação dos arquivos do core. No suporte da FULL, uma parcela relevante dos chamados de invasão é falso positivo causado por cache ou plugin mal configurado, então a confirmação exige evidência técnica, não apenas um aviso do navegador.
Sim, é possível preservar posts, páginas e mídia durante a limpeza, desde que você faça um backup do estado atual antes de mexer em qualquer arquivo. O conteúdo fica no banco de dados e na pasta uploads; a limpeza substitui o core e os plugins, que são reinstaláveis a partir de fontes oficiais. Na prática, raramente algum post precisa ser apagado.
O malware volta porque a limpeza removeu o sintoma e deixou o backdoor ativo. Para impedir a reinfecção, você deve trocar todas as chaves do wp-config.PHP, apagar os cron jobs maliciosos e substituir qualquer tema nulled. A ação certa é caçar o ponto de retorno, não só apagar o redirecionamento visível, que é o que mais provoca recaída em poucos dias.
A limpeza completa de um site de porte médio leva de 2 a 6 horas de trabalho técnico, incluindo isolamento, backup forense, restauração do core e revisão do banco. A remoção do aviso de malware no Google, porém, depende da revisão pelo bot e costuma levar de 1 a 3 dias após o pedido de reavaliação no Search Console. Quem tem backup externo recente encurta esse prazo.
Vale quando o site é fonte de receita ou quando o malware já reincidiu, porque o custo de um e-commerce fora do ar por dias supera o da remoção gerenciada. Para quem gerencia vários sites, o caminho mais barato é prevenir: o bundle FULL inclui firewall e hardening por cerca de R$85 por site ao ano, contra licenças avulsas que passam de US$59 cada por ferramenta.