Em resumo: se o seu site WordPress mostra conteúdos alheios, redireciona ou fica de repente lento, parta do pior cenário e contacte-nos agora. Assumimos o caso desde a primeira mensagem: preservar vestígios, bloquear acessos, procurar backdoors, limpar o site e documentar o incidente. Tudo remotamente, sem deslocações.
Não apague nada nem reinstale nada agora. Quem remove plugins ou repõe a cópia de segurança antes de se ter preservado destrói os vestígios da intrusão. Está afetado? Ligue ou escreva-nos por WhatsApp, ou use diretamente Comunicar uma emergência.
O seu WordPress foi hackeado?
Um ataque ao WordPress nem sempre se nota. Estes sinais apontam para um comprometimento:
- Os visitantes são redirecionados para sites alheios, publicidade ou lojas falsas, muitas vezes só a partir do telemóvel ou de motores de pesquisa
- na Google aparecem páginas em seu nome com textos farmacêuticos, de jogo ou em línguas estrangeiras, ver Spam de SEO no índice da Google
- no painel há administradores que ninguém criou, ou as palavras-passe deixam de poder ser repostas
- na pasta
wp-content/uploadshá ficheiros.phpque não deviam estar lá (como interpretar esses achados) - aparecem plugins ou temas que nunca instalou, ou que voltam a desaparecer sozinhos
- o seu fornecedor de alojamento comunica envio de spam, carga elevada ou bloqueia o site
- o navegador ou a Google mostram um aviso sobre o seu site
Há mais sinais ao nível do servidor em Já fui comprometido?.
O que fazer já
- Pôr o site em modo de manutenção ou retirá-lo da rede, se os visitantes estiverem em risco. Deixe os ficheiros inalterados.
- Não desinstalar nada nem apagar ficheiros. Nem mesmo plugins que pareçam suspeitos.
- Mandar preservar os registos: peça ao seu fornecedor de alojamento que não substitua os registos de acesso e de erros. A imprensa especializada aconselha a conservar os registos do servidor a partir de 20/10/2026.
- Reunir os acessos: quem tem administração do WordPress, FTP, SSH, painel de alojamento e base de dados? Anote-o, mas altere as palavras-passe só depois de acordo connosco e a partir de um dispositivo limpo.
- Verificar as caixas de correio: a conta registada no WordPress como endereço de administrador pode ser usada para repor palavras-passe.
- Informar os envolvidos: a gerência, o encarregado da proteção de dados e, se for o caso, o segurador.
- Contacte-nos, antes de continuar a intervir por conta própria.
Como ajuda a PHP SOS num site WordPress hackeado?
- Levantar a situação: esclarecemos o que vê, que plugins e temas estão em funcionamento, quem teve acesso e onde está o servidor.
- Preservar e fechar: ficheiros, base de dados e registos são preservados, os acessos suspeitos bloqueados e o site, se necessário, isolado.
- Verificar e limpar: comparamos os ficheiros do núcleo com o original (como se faz, explica-o este artigo), procuramos backdoors em plugins, temas, uploads e base de dados e removemo-los. O procedimento corresponde ao nosso serviço de remoção de malware e webshells.
- Reforçar e relatar: são verificados o nível do PHP, as permissões, a proteção do administrador e as atualizações. Recebe um relatório com cronologia, achados e recomendações.
Atualização do WordPress contra o PHP2Shell: porque não basta
Muitos operadores acreditam que, com a versão mais recente do WordPress, está tudo tratado. Não é verdade. O PHP2Shell, ou seja, CVE-2026-109618 e CVE-2026-109619, está no interpretador PHP em que o WordPress corre. Está corrigido no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Segundo a Dr. Web, o WordPress.org não planeia uma atualização própria para isso. O decisivo é o ambiente de execução PHP no seu servidor; mais sobre isto em Porque é que uma atualização do WordPress não ajuda e na página WordPress e PHP2Shell.
Vale igualmente: um patch do PHP não remove código malicioso que já foi introduzido. Ambas as coisas têm de ser verificadas em conjunto.
Backdoors no WordPress: onde se escondem
Os atacantes gostam de colocar acessos onde raramente se olha: em mu-plugins, em ficheiros de tema como functions.php, em pastas de imagens com dupla extensão de ficheiro, na tabela wp_options ou em tarefas agendadas do WordPress. Os pormenores e as vias de verificação encontra-os em Encontrar backdoors no WordPress. Depois da limpeza, todo o acesso de administrador deve ser protegido com uma autenticação de dois fatores.
Se o seu site for marcado como perigoso pela Google ou por um navegador, eliminamos primeiro a causa e depois apoiamos na reanálise. O procedimento descreve-o Remover o aviso da Google.
Como voltamos a libertar o site
Um site WordPress só volta à rede quando os ficheiros do núcleo, os plugins e o tema estiverem verificados, as credenciais e as chaves na configuração tiverem sido renovadas e já não existir nenhum utilizador suspeito. Depois verificamos o site público do ponto de vista de um visitante, também a partir do telemóvel, porque alguns redirecionamentos só aí ocorrem. Em seguida, recomendamos um controlo mais apertado nas semanas seguintes. Não há garantia de que o site nunca mais seja atacado, mas há um estado documentado e verificado.
O que nos deve enviar
- o endereço do site e, se for conhecido, o fornecedor de alojamento
- desde quando e em que reparou que algo estava errado
- capturas de ecrã de avisos, redirecionamentos ou contas de administrador alheias
- uma lista dos plugins e do tema, na medida do conhecido
- o estado da última cópia de segurança
Por favor, não envie dados de acesso por e-mail sem que lhos peçamos; acordamos consigo o caminho seguro.
Porquê a PHP SOS
Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Tem um interlocutor que acompanha o seu caso desde a primeira mensagem até à conclusão. Trabalhamos remotamente em toda a Alemanha e na Europa, documentamos cada passo e só prometemos o que se pode cumprir: trabalhamos até o incidente estar encerrado e documentado. Se dados pessoais puderem estar afetados, o relatório ajuda-o também na notificação RGPD; a avaliação jurídica fica com o seu encarregado da proteção de dados. O serviço completo está descrito na página Site hackeado: ajuda de emergência.
Está afetado? Ligue-nos. Nós ajudamos.
Se o seu site WordPress se comporta de forma suspeita, não espere pela próxima anomalia. Contacte-nos agora, por chamada ou WhatsApp, e assumimos o caso desde a primeira mensagem. Comunicar já uma emergência
Perguntas frequentes
Basta atualizar o WordPress e todos os plugins se o site foi hackeado?
Não. Uma atualização fecha vulnerabilidades para o futuro, mas não remove um backdoor que já está no servidor. Acresce que a vulnerabilidade PHP2Shell está no interpretador PHP, não no WordPress. Segundo relatos, o WordPress.org não planeia uma atualização própria para isso.
Posso repor uma cópia de segurança antiga e dar o assunto por resolvido?
Só com cuidado. Quem não conhece o momento da intrusão repõe talvez ficheiros já infetados. Além disso, a porta de entrada continua aberta se ninguém a encontrou. Primeiro preservar, depois avaliar, depois restaurar.
Como reconheço uma conta de administrador invisível no WordPress?
Algumas contas não aparecem na lista de utilizadores, porque o código malicioso filtra a apresentação. Uma comparação diretamente na base de dados e o confronto com as pessoas conhecidas mostram mais. Isso faz parte da limpeza, que assumimos nós.
Porque é que o código malicioso volta a aparecer depois de apagado?
Nesse caso, existe quase sempre um segundo backdoor ou um mecanismo que volta a carregar ficheiros, por exemplo uma tarefa agendada ou ficheiros manipulados em pastas pouco comuns. Quem apaga apenas os sintomas visíveis combate o sinal e não a causa.
Quanto custa se a Google marcar o meu site WordPress como perigoso?
Depende do âmbito e do esforço e só se pode dizer depois de uma primeira avaliação. É útil eliminar primeiro a causa e só depois pedir a reanálise à Google.