# WordPress hackeado? Ajuda urgente profissional

> WordPress hackeado? Preservamos vestígios, encontramos backdoors e devolvemos o seu site limpo, remotamente. Ligue ou escreva-nos por WhatsApp.

Fonte: https://phpsos.de/pt/soforthilfe/wordpress-gehackt-soforthilfe/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** se o seu site WordPress mostra conteúdos alheios, redireciona ou fica de repente lento, parta do pior cenário e contacte-nos agora. Assumimos o caso desde a primeira mensagem: preservar vestígios, bloquear acessos, procurar backdoors, limpar o site e documentar o incidente. Tudo remotamente, sem deslocações.

> **Agir de imediato:**
> **Não apague nada nem reinstale nada agora.** Quem remove plugins ou repõe a cópia de segurança antes de se ter preservado destrói os vestígios da intrusão. Está afetado? Ligue ou escreva-nos por WhatsApp, ou use diretamente [Comunicar uma emergência](https://phpsos.de/pt/notfall/).

## O seu WordPress foi hackeado?

Um ataque ao WordPress nem sempre se nota. Estes sinais apontam para um comprometimento:

- Os visitantes são redirecionados para sites alheios, publicidade ou lojas falsas, muitas vezes só a partir do telemóvel ou de motores de pesquisa
- na Google aparecem páginas em seu nome com textos farmacêuticos, de jogo ou em línguas estrangeiras, ver [Spam de SEO no índice da Google](https://phpsos.de/pt/blog/seo-spam-im-google-index/)
- no painel há administradores que ninguém criou, ou as palavras-passe deixam de poder ser repostas
- na pasta `wp-content/uploads` há ficheiros `.php` que não deviam estar lá ([como interpretar esses achados](https://phpsos.de/pt/blog/php-dateien-im-upload-ordner/))
- aparecem plugins ou temas que nunca instalou, ou que voltam a desaparecer sozinhos
- o seu fornecedor de alojamento comunica envio de spam, carga elevada ou bloqueia o site
- o navegador ou a Google mostram um aviso sobre o seu site

Há mais sinais ao nível do servidor em [Já fui comprometido?](https://phpsos.de/pt/php2shell/bin-ich-gehackt-anzeichen/).

## O que fazer já

1. **Pôr o site em modo de manutenção** ou retirá-lo da rede, se os visitantes estiverem em risco. Deixe os ficheiros inalterados.
2. **Não desinstalar nada nem apagar ficheiros.** Nem mesmo plugins que pareçam suspeitos.
3. **Mandar preservar os registos:** peça ao seu fornecedor de alojamento que não substitua os registos de acesso e de erros. A imprensa especializada aconselha a conservar os registos do servidor a partir de 20/10/2026.
4. **Reunir os acessos:** quem tem administração do WordPress, FTP, SSH, painel de alojamento e base de dados? Anote-o, mas altere as palavras-passe só depois de acordo connosco e a partir de um dispositivo limpo.
5. **Verificar as caixas de correio:** a conta registada no WordPress como endereço de administrador pode ser usada para repor palavras-passe.
6. **Informar os envolvidos:** a gerência, o encarregado da proteção de dados e, se for o caso, o segurador.
7. **Contacte-nos,** antes de continuar a intervir por conta própria.

## Como ajuda a PHP SOS num site WordPress hackeado?

1. **Levantar a situação:** esclarecemos o que vê, que plugins e temas estão em funcionamento, quem teve acesso e onde está o servidor.
2. **Preservar e fechar:** ficheiros, base de dados e registos são preservados, os acessos suspeitos bloqueados e o site, se necessário, isolado.
3. **Verificar e limpar:** comparamos os ficheiros do núcleo com o original ([como se faz, explica-o este artigo](https://phpsos.de/pt/blog/cms-kerndateien-vergleichen/)), procuramos backdoors em plugins, temas, uploads e base de dados e removemo-los. O procedimento corresponde ao nosso serviço de [remoção de malware e webshells](https://phpsos.de/pt/leistungen/malware-entfernung/).
4. **Reforçar e relatar:** são verificados o nível do PHP, as permissões, a proteção do administrador e as atualizações. Recebe um relatório com cronologia, achados e recomendações.

## Atualização do WordPress contra o PHP2Shell: porque não basta

Muitos operadores acreditam que, com a versão mais recente do WordPress, está tudo tratado. Não é verdade. O PHP2Shell, ou seja, CVE-2026-109618 e CVE-2026-109619, está no interpretador PHP em que o WordPress corre. Está corrigido no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Segundo a Dr. Web, o WordPress.org não planeia uma atualização própria para isso. O decisivo é o ambiente de execução PHP no seu servidor; mais sobre isto em [Porque é que uma atualização do WordPress não ajuda](https://phpsos.de/pt/blog/warum-wordpress-update-nicht-hilft/) e na página [WordPress e PHP2Shell](https://phpsos.de/pt/plattformen/wordpress/).

Vale igualmente: um patch do PHP não remove código malicioso que já foi introduzido. Ambas as coisas têm de ser verificadas em conjunto.

## Backdoors no WordPress: onde se escondem

Os atacantes gostam de colocar acessos onde raramente se olha: em mu-plugins, em ficheiros de tema como `functions.php`, em pastas de imagens com dupla extensão de ficheiro, na tabela `wp_options` ou em tarefas agendadas do WordPress. Os pormenores e as vias de verificação encontra-os em [Encontrar backdoors no WordPress](https://phpsos.de/pt/ratgeber/backdoor-wordpress-finden/). Depois da limpeza, todo o acesso de administrador deve ser protegido com uma [autenticação de dois fatores](https://phpsos.de/pt/ratgeber/zwei-faktor-admin/).

Se o seu site for marcado como perigoso pela Google ou por um navegador, eliminamos primeiro a causa e depois apoiamos na reanálise. O procedimento descreve-o [Remover o aviso da Google](https://phpsos.de/pt/ratgeber/google-warnung-entfernen/).

## Como voltamos a libertar o site

Um site WordPress só volta à rede quando os ficheiros do núcleo, os plugins e o tema estiverem verificados, as credenciais e as chaves na configuração tiverem sido renovadas e já não existir nenhum utilizador suspeito. Depois verificamos o site público do ponto de vista de um visitante, também a partir do telemóvel, porque alguns redirecionamentos só aí ocorrem. Em seguida, recomendamos um controlo mais apertado nas semanas seguintes. Não há garantia de que o site nunca mais seja atacado, mas há um estado documentado e verificado.

## O que nos deve enviar

- o endereço do site e, se for conhecido, o fornecedor de alojamento
- desde quando e em que reparou que algo estava errado
- capturas de ecrã de avisos, redirecionamentos ou contas de administrador alheias
- uma lista dos plugins e do tema, na medida do conhecido
- o estado da última cópia de segurança

Por favor, não envie dados de acesso por e-mail sem que lhos peçamos; acordamos consigo o caminho seguro.

## Porquê a PHP SOS

Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Tem um interlocutor que acompanha o seu caso desde a primeira mensagem até à conclusão. Trabalhamos remotamente em toda a Alemanha e na Europa, documentamos cada passo e só prometemos o que se pode cumprir: trabalhamos até o incidente estar encerrado e documentado. Se dados pessoais puderem estar afetados, o relatório ajuda-o também na [notificação RGPD](https://phpsos.de/pt/compliance/dsgvo-meldepflicht-72-stunden/); a avaliação jurídica fica com o seu encarregado da proteção de dados. O serviço completo está descrito na página [Site hackeado: ajuda de emergência](https://phpsos.de/pt/leistungen/website-gehackt-notfallhilfe/).

## Está afetado? Ligue-nos. Nós ajudamos.

Se o seu site WordPress se comporta de forma suspeita, não espere pela próxima anomalia. Contacte-nos agora, por chamada ou WhatsApp, e assumimos o caso desde a primeira mensagem. [Comunicar já uma emergência](https://phpsos.de/pt/notfall/)


## Perguntas frequentes

**Basta atualizar o WordPress e todos os plugins se o site foi hackeado?**  
Não. Uma atualização fecha vulnerabilidades para o futuro, mas não remove um backdoor que já está no servidor. Acresce que a vulnerabilidade PHP2Shell está no interpretador PHP, não no WordPress. Segundo relatos, o WordPress.org não planeia uma atualização própria para isso.

**Posso repor uma cópia de segurança antiga e dar o assunto por resolvido?**  
Só com cuidado. Quem não conhece o momento da intrusão repõe talvez ficheiros já infetados. Além disso, a porta de entrada continua aberta se ninguém a encontrou. Primeiro preservar, depois avaliar, depois restaurar.

**Como reconheço uma conta de administrador invisível no WordPress?**  
Algumas contas não aparecem na lista de utilizadores, porque o código malicioso filtra a apresentação. Uma comparação diretamente na base de dados e o confronto com as pessoas conhecidas mostram mais. Isso faz parte da limpeza, que assumimos nós.

**Porque é que o código malicioso volta a aparecer depois de apagado?**  
Nesse caso, existe quase sempre um segundo backdoor ou um mecanismo que volta a carregar ficheiros, por exemplo uma tarefa agendada ou ficheiros manipulados em pastas pouco comuns. Quem apaga apenas os sintomas visíveis combate o sinal e não a causa.

**Quanto custa se a Google marcar o meu site WordPress como perigoso?**  
Depende do âmbito e do esforço e só se pode dizer depois de uma primeira avaliação. É útil eliminar primeiro a causa e só depois pedir a reanálise à Google.

## Fontes

- [WordPress.org](https://wordpress.org/)
- [BSI: Gabinete Federal Alemão para a Segurança da Informação](https://www.bsi.bund.de/)
- [Dr. Web: PHP2Shell e versões do PHP](https://www.drweb.de/php2shell-update-php-versionen/)
- [Ajuda do Google Search Console](https://support.google.com/webmasters/)