Remover malware do WordPress: passo a passo

Tipo Seguranca

Nome do erro Malware no WordPress EN: WordPress malware

Severidade Crítico

Descrição Remover malware do WordPress significa localizar e apagar o código malicioso injetado em arquivos e no banco, restaurar os arquivos do núcleo a partir de cópias limpas e fechar a falha que permitiu a invasão, para o site não reinfectar.

O que é malware no WordPress?

Remover malware do WordPress é o processo de limpar o código malicioso que um invasor injetou explorando um plugin/tema desatualizado, uma senha fraca ou uma falha de hospedagem. Esse código costuma criar usuários admin ocultos, injetar spam, redirecionar visitantes ou usar o servidor para enviar e-mails. Para resolver de vez é preciso limpar arquivos E banco e tapar a porta de entrada, senão volta.

Como identificar

O Google marca o site com “Este site pode prejudicar seu computador” ou ele cai na Navegação Segura.
Aparecem usuários administradores que você não criou, ou arquivos PHP estranhos em wp-content/uploads.
Redirecionamentos para sites suspeitos só em celular ou só vindo do Google.
A hospedagem suspende a conta por envio de spam ou uso anormal de CPU.

Antes de começar: Trabalhe sempre sobre um backup. Não delete arquivos suspeitos sem antes salvar uma cópia para análise; apagar às cegas pode quebrar o site e perder a evidência de como a invasão entrou.

Como prevenir

Mantenha WordPress, plugins e temas sempre atualizados e remova o que não usa
Use senhas fortes e únicas + 2FA no admin, e nunca instale plugin/tema pirata
Tenha backup automático externo e um firewall/WAF que bloqueie força bruta

Causa

Plugin ou tema desatualizado com vulnerabilidade conhecida explorada pelo invasor.
Senha de admin, FTP ou banco fraca ou reutilizada, quebrada por força bruta.
Plugin/tema nulled (pirata) que já vem com backdoor embutido.
Permissões de arquivo permissivas (777) que deixam o invasor escrever no servidor.
Vizinho infectado em hospedagem compartilhada mal isolada (contaminação cruzada).

Como resolver

Coloque o site em manutenção e faça backup do estado atual: antes de mexer, salve uma cópia (arquivos + banco) para análise forense, mesmo infectada.
Restaure os arquivos do núcleo: compare com uma instalação limpa e substitua wp-admin e wp-includes. Via WP-CLI dá para verificar a integridade:
```
wp core verify-checksums
wp plugin verify-checksums --all
```
Cace arquivos modificados recentemente: procure PHP alterado nos últimos dias e em pastas que não deveriam ter código:
```
find . -name '*.php' -mtime -15 -ls
find wp-content/uploads -name '*.php' -ls
```
Limpe o banco de dados: remova usuários admin desconhecidos, revise wp_options (siteurl/home), e procure injeções de script em posts e widgets.
Troque TODAS as credenciais e as security keys: senhas de admin, FTP, banco e hospedagem; regenere as chaves do wp-config.php (SALT) para invalidar sessões do invasor.
Tape a porta de entrada: atualize WordPress, plugins e temas, remova o que for nulled e peça reanálise ao Google Search Console.

BASH

# Verifica a integridade do core e dos plugins contra o repositorio oficial
wp core verify-checksums
wp plugin verify-checksums --all

# Lista PHP modificado nos ultimos 15 dias e PHP dentro de uploads (sinal classico de backdoor)
find . -type f -name '*.php' -mtime -15 -ls
find wp-content/uploads -type f -name '*.php' -ls

Perguntas frequentes

Um plugin de segurança remove o malware sozinho?

Ajuda a detectar e limpar boa parte, mas raramente fecha a porta de entrada. Sem atualizar o plugin vulnerável e trocar as senhas, o site reinfecta mesmo depois da limpeza.

Removi o malware mas o Google ainda marca o site. E agora?

Depois de limpar, peça a reanálise no Google Search Console (Problemas de segurança). A remoção do aviso leva de algumas horas a alguns dias após a aprovação.

Preciso trocar as security keys do wp-config.php?

Sim. Regenerar as SALT keys invalida todos os cookies de sessão ativos, o que derruba qualquer sessão que o invasor tenha deixado aberta no painel.

Como descubro por onde o invasor entrou?

Cruze a data dos arquivos modificados com os logs de acesso do servidor. Quase sempre aponta para um plugin/tema desatualizado ou um login quebrado por força bruta.

Quanto tempo leva para limpar um site infectado?

Depende da extensão. Uma infecção simples sai em algumas horas; um site com backdoors espalhados e reinfecção exige análise completa de arquivos, banco e logs, podendo passar de um dia.

Vale a pena restaurar um backup antigo em vez de limpar?

Só se você tiver certeza de que o backup é anterior à invasão e a falha de entrada já foi corrigida. Restaurar sobre a mesma vulnerabilidade aberta reinfecta o site na mesma hora.

Grave

Como corrigir as regras de firewall que não aplicam no All in One Security

No All in One Security (AIOS), as regras de firewall deixam de aplicar quando o servidor não carrega o arquivo aios-bootstrap.php ou ignora o .htaccess. É comum em Nginx, LiteSpeed mal configurado e ambientes atrás de proxy ou CDN.

Crítico

Como corrigir o wp-config.php exposto no WordPress

O wp-config exposto é uma falha grave em que o arquivo de configuração do WordPress fica legível pela web, revelando a senha do banco e as chaves de autenticação. Ocorre quando o servidor entrega o conteúdo em texto, em vez de processá-lo como PHP, ou quando um backup do arquivo fica acessível por URL.

Atenção

Como corrigir os falsos positivos do File Change Detection do AIOS no WordPress

Os falsos positivos do File Change Detection do AIOS acontecem quando o scanner de mudanca de arquivos do All in One Security registra alterações legitimas (atualização de plugin, tema ou nucleo, cache e logs) como suspeitas e dispara o alerta de e-mail, sem que tenha havido invasao.

Atenção

Como corrigir os cabeçalhos de segurança que não aplicam no WordPress com All in One Security

Os security headers no WordPress não aplicam quando você os adiciona via .htaccess no All in One Security, mas o servidor roda Nginx ou um proxy que ignora o .htaccess, quando outro componente já envia o mesmo cabeçalho, ou quando a regra foi colada no bloco errado do arquivo.

Grave

Como corrigir a IP Whitelist que não funciona no All in One Security

No All in One Security, a IP Whitelist não libera o acesso quando o IP que o plugin detecta difere do IP que você cadastrou. Atrás de Cloudflare ou proxy reverso, o AIOS lê o IP do servidor intermediário, e a allowlist nunca casa.

Grave

Como desbloquear usuários legítimos travados pelo Login Security do All in One Security

O AIOS bloqueio de usuários acontece quando o Login Lockdown do All in One Security conta as tentativas de login falhas de um IP e tranca esse IP depois de passar do Max Login Attempts. Senha errada algumas vezes, senha antiga salva no navegador ou um nome de usuário invalido fazem o plugin travar gente real e até o administrador.

Setores

Extensões

Integrações

Como remover malware de um site WordPress

O que é malware no WordPress?

Como identificar

Como prevenir

Causa

Como resolver

Perguntas frequentes

Itens relacionados

Como corrigir as regras de firewall que não aplicam no All in One Security

Como corrigir o wp-config.php exposto no WordPress

Como corrigir os falsos positivos do File Change Detection do AIOS no WordPress

Como corrigir os cabeçalhos de segurança que não aplicam no WordPress com All in One Security

Como corrigir a IP Whitelist que não funciona no All in One Security

Como desbloquear usuários legítimos travados pelo Login Security do All in One Security

Setores

Extensões

Integrações

Extensões

Hero Sections

Seções de CTA

Login

Blog

Cabeçalhos

Seções de FAQ

Cadastro

Blog individual

Rodapés

Seções de contato

Seções de preços

Faixas

Portfólio

Seções de equipe

Números

Logotipos