Rimozione malware WordPress: protocollo di emergenza (checklist operativa 2025)

Ciao e benvenuto. Se hai bisogno di chiarimenti sul codice, lascia un commento (no WhatsApp); ricorda però che non fornisco assistenza gratuita sugli articoli che ho scritto nè personalizzo il codice in modo gratuito, quindi se la tua richiesta va oltre il semplice "aiutino", se vuoi mi chiedi una consulenza a pagamento nella pagina contatti. Grazie della comprensione. Alessio

Se il tuo sito WordPress è hackerato o noti redirect sospetti, popup, file estranei o un improvviso calo di traffico, serve un protocollo di rimozione malware rapido e sicuro. In questa guida trovi una checklist operativa per ripulire WordPress, ripristinare la fiducia di utenti e motori di ricerca e mettere in sicurezza il sito per evitare nuove infezioni.

Segnali tipici di infezione

Redirect verso domini esterni su mobile o solo da Google.
File PHP sconosciuti in /wp-content/uploads/ , nella root o in plugin.
Alert di Google Search Console o hosting.
Creazione di utenti admin non autorizzati.
Spike di CPU, invio spam, comparsa di pagine doorway.

1) Metti in sicurezza e isola

Attiva manutenzione o password di accesso temporanea a livello server.
Disattiva l’indicizzazione temporanea (noindex) se stai servendo contenuti malevoli.
Backup completo di file e database (istantanea pre-pulizia) per analisi forense.

2) Cambia credenziali e rigenera i SALTS

Cambia subito le password di hosting, SFTP/SSH, database, WordPress, provider CDN/Email.
Rigenera i SECURE_AUTH_KEY e colleghi (SALTS) nel wp-config.php per invalidare le sessioni.

3) Verifica e ripristina i file core

Usa strumenti di confronto o WP-CLI per controllare i core file:

1 2	wp core verify-checksums wp core download --force --skip-content

Questo ripristina il core WordPress pulito senza toccare wp-content.

4) Scansione mirata di temi, plugin e uploads

Cerca pattern malevoli tipici con grep o con un file manager:

1	grep -R --line-number -E "base64_decode\|gzinflate\|str_rot13\|assert\\(\|passthru\|shell_exec\|system\\(\|eval\\(" wp-content

Controlla .htaccess e web.config per redirect nascosti.
Elimina PHP in uploads e in cartelle che dovrebbero contenere solo media.
Reinstalla da sorgenti ufficiali tema e plugin critici.

5) Pulizia database

Gli hacker spesso iniettano payload nel database:

Cerca in wp_options valori sospetti (siteurl, home, active_plugins, cron).
Indaga wp_posts su post e pagine con iframes o script offuscati.
Rimuovi task cron malevoli e webhook inseriti via opzioni.

6) Utenti, ruoli e accessi

Elimina admin sconosciuti e riduci i permessi eccessivi.
Abilita 2FA per amministratori ed editor.

7) Hardening post-pulizia

Imposta permessi sicuri: 644 file, 755 directory.
Blocca l’esecuzione PHP in /wp-content/uploads/ con regole server.
Aggiungi in wp-config.php: define('DISALLOW_FILE_EDIT', true);
Installa un WAF (Web Application Firewall) (es. a livello edge/CDN) e limita tentativi di login.
Programma backup 3-2-1 e aggiornamenti automatici sicuri.

8) Test di integrità e ripristino online

Riesegui la scansione file e database, verifica che i redirect siano spariti.
Controlla il sito su mobile e da risultati di ricerca reali.
Riabbi l’indicizzazione, rimuovi eventuali regole temporanee.

9) SEO dopo l’hack: cosa fare

In Google Search Console, sezione Problemi di sicurezza, richiedi revisione dopo la pulizia.
Controlla sitemap, copertura e eventuali URL doorway da rimuovere.
Ripristina title/description alterati, rigenera la cache del CDN.

Checklist rapida di rimozione malware

Isolamento del sito e backup forense.
Password cambiate e SALTS rigenerati.
Core pulito reinstallato, tema e plugin ripristinati da fonti ufficiali.
Uploads senza PHP, .htaccess ripulito.
DB bonificato (options, posts, cron).
Hardening con permessi corretti, WAF e 2FA.
GSC revisione inviata, monitor attivo.

Sito WordPress hackerato? Intervento d’emergenza per la rimozione malware con ripristino funzionale e hardening preventivo.

Richiedi assistenza

FAQ

Quanto tempo serve per ripulire un sito WordPress?

Dipende dall’estensione dell’infezione. Un hack semplice si risolve di solito in poche ore; compromissioni profonde con payload nel database e file system richiedono più tempo e test.

Posso limitarmi a ripristinare un backup?

Solo se sei certo che il backup sia pulito e successivo alla patch della vulnerabilità sfruttata. Altrimenti rischi la re-infezione.

È meglio reinstallare da zero?

Spesso basta un ripristino controllato di core, tema e plugin da sorgenti ufficiali con sanificazione di uploads e database. La reinstallazione totale è extrema ratio.

Come evitare che accada di nuovo?

Aggiornamenti continui, WAF, permessi corretti, 2FA, blocco PHP in uploads e monitoraggio di file e log. La sicurezza è un processo, non un evento.