In breve: se il Suo sito WordPress mostra contenuti estranei, reindirizza o diventa improvvisamente lento, parta dal presupposto del caso grave e ci contatti subito. Ce ne occupiamo dal primo messaggio: conservare le tracce, bloccare gli accessi, cercare le backdoor, bonificare il sito e documentare l'incidente. Tutto da remoto, senza trasferte.
Ora non cancelli nulla e non reinstalli nulla. Chi rimuove plugin o ripristina il backup prima di aver fatto un salvataggio distrugge le tracce dell'intrusione. È stato colpito? Ci chiami o ci scriva su WhatsApp, oppure usi direttamente Segnala l'emergenza.
Il Suo WordPress è stato hackerato?
Un attacco a WordPress non si nota sempre. Questi segnali indicano una compromissione:
- i visitatori vengono reindirizzati a siti estranei, pubblicità o shop falsi, spesso solo da smartphone o dai motori di ricerca
- in Google compaiono pagine a nome Suo con testi su farmaci, gioco d'azzardo o in lingue straniere, vedi SEO spam nell'indice di Google
- nella dashboard ci sono amministratori che nessuno ha creato, oppure le password improvvisamente non si lasciano più reimpostare
- nella cartella
wp-content/uploadsci sono file.phpche lì non dovrebbero esserci (come interpretare questi ritrovamenti) - compaiono plugin o temi che non ha mai installato, oppure scompaiono da soli
- il Suo hoster segnala invio di spam, carico elevato o blocca il sito
- browser o Google mostrano un avviso sul Suo sito
Altri segnali a livello di server sono in Sono già stato compromesso?.
Che cosa fare subito
- Mettere il sito in modalità di manutenzione o scollegarlo dalla rete se i visitatori sono in pericolo. Lasciare i file invariati.
- Non disinstallare nulla e non cancellare file. Nemmeno i plugin che sembrano sospetti.
- Far salvare i log: chieda al Suo hoster di non sovrascrivere i registri di accesso e di errore. La stampa specializzata consiglia di conservare i log del server a partire dal 20/10/2026.
- Raccogliere gli accessi: chi ha amministrazione di WordPress, FTP, SSH, pannello di hosting e database? Lo annoti, ma cambi le password solo dopo averlo concordato e da un dispositivo pulito.
- Controllare le caselle di posta: l'account registrato in WordPress come indirizzo dell'amministratore può essere usato per reimpostare le password.
- Informare gli interessati: direzione, responsabile della protezione dei dati ed eventualmente l'assicuratore.
- Ci contatti, prima di intervenire ancora da solo.
Come aiuta PHP SOS con un sito WordPress hackerato?
- Quadro della situazione: chiariamo che cosa vede, quali plugin e temi sono in funzione, chi ha avuto accesso e dove si trova il server.
- Salvare e chiudere: file, database e log vengono salvati, gli accessi sospetti bloccati e, se serve, il sito isolato.
- Verificare e bonificare: confrontiamo i file core con l'originale (come si fa lo spiega questo articolo), cerchiamo backdoor in plugin, temi, upload e database e le rimuoviamo. La procedura corrisponde al nostro servizio Rimozione di malware e web shell.
- Rafforzare e riferire: vengono verificati lo stato di PHP, i permessi, la protezione degli admin e gli aggiornamenti. Riceve una relazione con linea temporale, ritrovamenti e raccomandazioni.
Aggiornamento di WordPress contro PHP2Shell: perché non basta
Molti gestori credono che con l'ultima versione di WordPress sia tutto a posto. Non è così. PHP2Shell, cioè CVE-2026-109618 e CVE-2026-109619, si trova nell'interprete PHP su cui gira WordPress. È corretta in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Secondo Dr. Web, WordPress.org non prevede al riguardo un proprio aggiornamento. Conta l'ambiente di esecuzione PHP sul Suo server; maggiori informazioni in Perché un aggiornamento di WordPress non basta e nella pagina WordPress e PHP2Shell.
Vale anche questo: una patch PHP non rimuove il codice dannoso già introdotto. Le due cose vanno verificate insieme.
Backdoor in WordPress: dove si nascondono
Gli aggressori depositano volentieri gli accessi dove si guarda di rado: nei mu-plugin, in file del tema come functions.php, in cartelle di immagini con doppia estensione, nella tabella wp_options o nelle attività pianificate di WordPress. Dettagli e vie di verifica in Trovare le backdoor in WordPress. Dopo la bonifica ogni accesso admin dovrebbe essere protetto con un'autenticazione a due fattori.
Se il Suo sito viene segnato da Google o da un browser come pericoloso, eliminiamo prima la causa e poi assistiamo nel riesame. La procedura è descritta in Rimuovere l'avviso di Google.
Come rimettiamo online il sito
Un sito WordPress torna in rete solo quando file core, plugin e tema sono stati verificati, credenziali e chiavi nella configurazione sono state rinnovate e non esiste più alcun utente sospetto. Poi controlliamo il sito pubblico dal punto di vista di un visitatore, anche da smartphone, perché certi reindirizzamenti compaiono solo lì. In seguito raccomandiamo per le settimane successive un controllo più stretto. Non c'è alcuna assicurazione che il sito non venga mai più attaccato, ma c'è uno stato documentato e verificato.
Che cosa dovrebbe inviarci
- l'indirizzo del sito e, se noto, l'hoster
- da quando e da che cosa ha notato qualcosa
- screenshot di avvisi, reindirizzamenti o account amministratore estranei
- un elenco dei plugin e del tema, per quanto noto
- lo stato dell'ultimo backup
Per favore non invii le credenziali di accesso via email senza che gliele abbiamo chieste; concordiamo con Lei la via sicura.
Perché PHP SOS
Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Ha un unico interlocutore che accompagna il Suo caso dal primo messaggio alla conclusione. Lavoriamo da remoto in tutta la Germania e in Europa, documentiamo ogni passaggio e promettiamo solo ciò che si può mantenere: lavoriamo finché l'incidente non è concluso e documentato. Se potrebbero essere coinvolti dati personali, la relazione La aiuta anche con la notifica GDPR; la valutazione giuridica resta al Suo responsabile della protezione dei dati. Il servizio nel suo complesso è descritto nella pagina Sito web violato: assistenza urgente.
È stato colpito? Ci chiami. La aiutiamo.
Se il Suo sito WordPress si comporta in modo sospetto, non aspetti la prossima anomalia. Ci contatti subito, per telefono o WhatsApp, e ce ne occupiamo dal primo messaggio. Segnali subito l'emergenza
Domande frequenti
Basta aggiornare WordPress e tutti i plugin se il sito è stato hackerato?
No. Un aggiornamento chiude le vulnerabilità per il futuro, ma non rimuove una backdoor già presente sul server. Inoltre: la vulnerabilità PHP2Shell si trova nell'interprete PHP, non in WordPress. Secondo i resoconti, WordPress.org non prevede al riguardo un proprio aggiornamento.
Posso ripristinare un vecchio backup e considerare chiusa la questione?
Solo con cautela. Se non conosce il momento dell'intrusione, rischia di ripristinare file già infetti. Inoltre il punto d'ingresso resta aperto se nessuno l'ha trovato. Prima salvare, poi valutare, poi ripristinare.
Come riconosco un account amministratore invisibile in WordPress?
Alcuni account non compaiono nell'elenco degli utenti perché il codice dannoso ne filtra la visualizzazione. Un confronto diretto nel database e con le persone note mostra di più. Fa parte della bonifica di cui ci occupiamo noi.
Perché il codice dannoso ricompare dopo la cancellazione?
Di solito esiste una seconda backdoor o un meccanismo che ricarica i file, ad esempio un'attività pianificata o file manipolati in cartelle insolite. Chi cancella solo i sintomi visibili combatte il segnale e non la causa.
Quanto costa se Google segna il mio sito WordPress come pericoloso?
Dipende da portata e impegno e si può dire solo dopo una prima valutazione. È sensato eliminare prima la causa e solo dopo richiedere il riesame a Google.