![\"Ilustra\u00e7\u00e3o:](\"https:\/\/w2websites.com\/blog\/wp-content\/uploads\/2026\/10\/site-wordpress-hackeado-o-que-fazer.jpg\")
Sinais de que o seu site WordPress foi hackeado<\/h2>\n
Nem toda invas\u00e3o \u00e9 escandalosa. Muitas s\u00e3o feitas justamente para n\u00e3o serem notadas pelo dono do site. Os sinais mais comuns:<\/p>\n
- \n
- Conte\u00fado que voc\u00ea n\u00e3o publicou:<\/strong> p\u00e1ginas, posts ou links de cassino, apostas, farm\u00e1cia ou conte\u00fado adulto, \u00e0s vezes vis\u00edveis s\u00f3 no c\u00f3digo-fonte.<\/li>\n
- Redirecionamentos:<\/strong> visitantes (principalmente quem vem do Google ou do celular) s\u00e3o mandados para outro site.<\/li>\n
- Telas falsas de verifica\u00e7\u00e3o:<\/strong> um “N\u00e3o sou um rob\u00f4” ou “atualize seu navegador” que pede para o visitante copiar e colar um comando. \u00c9 golpe contra quem visita o seu site.<\/li>\n
- C\u00f3digo PHP aparecendo na p\u00e1gina<\/strong>, erro 500 ou o site fora do ar sem explica\u00e7\u00e3o.<\/li>\n
- Aviso do Google:<\/strong> “Este site pode ter sido invadido” nos resultados de busca, tela vermelha de site enganoso no Chrome ou alerta em “Seguran\u00e7a e a\u00e7\u00f5es manuais” no Search Console.<\/li>\n
- Usu\u00e1rios administradores que voc\u00ea n\u00e3o criou<\/strong>, senha que deixou de funcionar ou e-mail do administrador trocado.<\/li>\n
- Lentid\u00e3o repentina<\/strong> e consumo alto de recursos, que podem levar a hospedagem a suspender a conta.<\/li>\n
- Milhares de coment\u00e1rios de spam<\/strong> ou e-mails de modera\u00e7\u00e3o sobre posts que voc\u00ea n\u00e3o reconhece.<\/li>\n<\/ul>\n
Um teste r\u00e1pido e gratuito: o relat\u00f3rio de navega\u00e7\u00e3o segura do Google<\/a> e o Sucuri SiteCheck<\/a> mostram se o dom\u00ednio est\u00e1 marcado como perigoso. Um resultado limpo, por\u00e9m, n\u00e3o prova que o site est\u00e1 limpo: as portas de acesso escondidas n\u00e3o aparecem para quem olha de fora.<\/p>\n
O que fazer agora: passo a passo<\/h2>\n
1. N\u00e3o apague nada ainda: fa\u00e7a um backup do estado atual<\/h3>\n
Antes de qualquer limpeza, copie os arquivos do site e exporte o banco de dados, guardando a c\u00f3pia fora da pasta p\u00fablica. Esse backup infectado n\u00e3o \u00e9 para restaurar: \u00e9 a evid\u00eancia que mostra o que foi alterado, quando e por onde. Sem ele, voc\u00ea limpa no escuro e n\u00e3o descobre a porta de entrada.<\/p>\n
2. Tire o acesso do invasor<\/h3>\n
Troque as senhas de tudo o que d\u00e1 acesso ao site: painel da hospedagem (cPanel, DirectAdmin, Plesk), FTP\/SFTP, banco de dados e todos os administradores do WordPress. Gere novas chaves de seguran\u00e7a (os “salts” do
wp-config.php<\/code>), o que derruba qualquer sess\u00e3o de login aberta. Confira se o e-mail do administrador ainda \u00e9 seu. Trocar s\u00f3 a senha do WordPress n\u00e3o basta<\/strong> se o invasor deixou um arquivo que entra sem senha nenhuma, como veremos nos casos abaixo.<\/p>\n3. Descubra a extens\u00e3o da invas\u00e3o<\/h3>\n
Uma invas\u00e3o quase nunca \u00e9 um arquivo s\u00f3. Os lugares que precisam ser verificados, um por um:<\/p>\n
- \n
- Arquivos do n\u00facleo do WordPress<\/strong>, comparados com os originais (o comando
wp core verify-checksums<\/code> do WP-CLI faz isso em segundos).<\/li>\n- Arquivos PHP dentro de
wp-content\/uploads\/<\/code>:<\/strong> essa pasta deveria ter s\u00f3 imagens e documentos. Qualquer.php<\/code> ali \u00e9 suspeito.<\/li>\nwp-content\/mu-plugins\/<\/code>:<\/strong> plugins dessa pasta rodam sempre e n\u00e3o aparecem na lista comum do painel. Lugar preferido para esconder c\u00f3digo.<\/li>\n- O
functions.php<\/code> de todos os temas<\/strong>, inclusive os inativos.<\/li>\n- Plugins que voc\u00ea n\u00e3o instalou<\/strong> ou com nome gen\u00e9rico (“SEO”, “cache”, “compat”), e arquivos estranhos dentro de plugins leg\u00edtimos.<\/li>\n
- Usu\u00e1rios<\/strong>, principalmente administradores, e tarefas agendadas<\/strong> (WP-Cron e o cron do servidor).<\/li>\n
- Banco de dados:<\/strong> posts, p\u00e1ginas e revis\u00f5es com links ou blocos escondidos, op\u00e7\u00f5es alteradas (endere\u00e7o do site, e-mail do administrador).<\/li>\n
.htaccess<\/code> ewp-config.php<\/code><\/strong>, procurando redirecionamentos e c\u00f3digo injetado.<\/li>\n<\/ul>\n4. Limpe pela raiz<\/h3>\n
Reinstale o n\u00facleo do WordPress a partir do pacote oficial, reinstale plugins e temas a partir da fonte original (WordPress.org ou o pacote licenciado do fabricante), remova o que n\u00e3o \u00e9 usado e apague ou coloque em quarentena cada componente malicioso encontrado. Limpe o conte\u00fado injetado no banco, incluindo as revis\u00f5es. Depois, rode um scanner de malware (como o Wordfence<\/a>) como segunda opini\u00e3o: a verifica\u00e7\u00e3o manual e a autom\u00e1tica acham coisas diferentes.<\/p>\n
5. Feche a porta por onde ele entrou<\/h3>\n
Se a causa n\u00e3o for corrigida, a invas\u00e3o volta. As portas mais comuns s\u00e3o plugin ou tema desatualizado com falha conhecida, plugin “nulled” (vers\u00e3o pirata de plugin pago), plugin gerenciador de arquivos esquecido no site, senha fraca ou reutilizada e c\u00f3pias de configura\u00e7\u00e3o deixadas na pasta p\u00fablica. Atualize tudo, remova o que n\u00e3o usa e aplique o refor\u00e7o de seguran\u00e7a da se\u00e7\u00e3o “Como evitar que aconte\u00e7a de novo”.<\/p>\n
6. Avise o Google e confira a reputa\u00e7\u00e3o do dom\u00ednio<\/h3>\n
Se o Search Console mostrar um problema de seguran\u00e7a, pe\u00e7a a revis\u00e3o depois da limpeza. Confira de novo o relat\u00f3rio de navega\u00e7\u00e3o segura do Google e o Sucuri SiteCheck. Se o invasor criou p\u00e1ginas de spam, elas precisam sair do \u00edndice: devolva erro 404 ou 410 para essas URLs e acompanhe no relat\u00f3rio de p\u00e1ginas do Search Console.<\/p>\n
7. Monitore nas semanas seguintes<\/h3>\n
Mantenha o scanner de malware ativo com varreduras peri\u00f3dicas, confira os usu\u00e1rios administradores e acompanhe o tr\u00e1fego e as p\u00e1ginas indexadas. Uma porta de acesso que passou despercebida costuma se revelar nos primeiros dias.<\/p>\n
Tr\u00eas casos reais que atendemos em 2026<\/h2>\n
Caso 1: consult\u00f3rio m\u00e9dico com tela falsa de “N\u00e3o sou um rob\u00f4”<\/h3>\n
O site de um consult\u00f3rio m\u00e9dico em Fortaleza come\u00e7ou a mostrar c\u00f3digo PHP cru no topo da p\u00e1gina, seguido de uma tela falsa de verifica\u00e7\u00e3o “N\u00e3o sou um rob\u00f4”. \u00c9 uma t\u00e9cnica conhecida como ClickFix<\/em>: a tela induz o visitante a copiar e executar um comando no pr\u00f3prio computador. Ou seja, o site estava sendo usado para atacar os pacientes que o visitavam.<\/p>\n
A investiga\u00e7\u00e3o por SSH encontrou seis componentes maliciosos independentes<\/strong>:<\/p>\n
- \n
- um gerenciador de arquivos sem senha escondido em
uploads\/2021\/10\/<\/code>, que permitia a qualquer pessoa ver, editar e apagar arquivos do site, presente havia quase um ano;<\/li>\n- um plugin falso de SEO que buscava ordens do invasor a cada 7 minutos e conseguia executar qualquer c\u00f3digo no servidor;<\/li>\n
- um arquivo em
mu-plugins<\/code> que injetava o script da tela falsa s\u00f3 para quem n\u00e3o estava logado (por isso o dono do site, logado, demorava a ver);<\/li>\n- outro arquivo em
mu-plugins<\/code>, disfar\u00e7ado de componente do WooCommerce (que nem estava instalado), para esconder o ataque de scanners;<\/li>\n- um trecho no
functions.php<\/code> de todos os sete temas instalados<\/strong>, inclusive os inativos, que transformava qualquer visitante em administrador sem senha, s\u00f3 com um par\u00e2metro na URL;<\/li>\n- e um sexto, achado s\u00f3 pelo scanner autom\u00e1tico depois da limpeza manual: um arquivo disfar\u00e7ado de tradu\u00e7\u00e3o dentro de um plugin que j\u00e1 tinha sido retirado do reposit\u00f3rio oficial, executando comandos recebidos por cookie.<\/li>\n<\/ul>\n
Detalhe importante: n\u00e3o havia nenhum usu\u00e1rio administrador falso<\/strong>. Quem confere s\u00f3 a lista de usu\u00e1rios concluiria que estava tudo bem. A limpeza incluiu quarentena de todos os componentes, atualiza\u00e7\u00e3o do WordPress e dos plugins, remo\u00e7\u00e3o de seis temas sem uso e de tr\u00eas plugins desnecess\u00e1rios (entre eles um gerenciador de arquivos), troca de senhas e salts, bloqueio de execu\u00e7\u00e3o de PHP em
uploads<\/code>, bloqueio do XML-RPC (que recebia centenas de tentativas por dia), prote\u00e7\u00e3o contra for\u00e7a bruta, backup autom\u00e1tico e a limpeza de mais de 3 mil coment\u00e1rios de spam, preservando as perguntas reais de pacientes que estavam perdidas na fila. O dom\u00ednio n\u00e3o chegou a entrar em lista de bloqueio.<\/p>\nCaso 2: empresa de log\u00edstica no M\u00e9xico com spam de cassino<\/h3>\n
O site de uma empresa de log\u00edstica internacional estava fora do ar. O invasor tinha acesso de administrador, instalou v\u00e1rias portas de acesso ocultas e usava o dom\u00ednio para publicar spam de cassino em grande escala. Na interven\u00e7\u00e3o de emerg\u00eancia foram removidos mais de 700 conte\u00fados maliciosos<\/strong> (200 posts e 509 coment\u00e1rios de spam) e 14 contas de usu\u00e1rio falsas<\/strong> (das 15 existentes, s\u00f3 uma era leg\u00edtima). O n\u00facleo do WordPress foi reinstalado e o scanner de seguran\u00e7a passou de 46 amea\u00e7as detectadas para zero, em mais de 12 mil arquivos verificados.<\/p>\n
A auditoria forense feita na sequ\u00eancia mostrou por que n\u00e3o basta o scanner dizer “limpo”: a p\u00e1gina inicial e duas revis\u00f5es dela ainda tinham um bloco de links de cassino posicionado fora da tela, invis\u00edvel para o visitante e para o dono, mas lido pelo Google. E apontou a prov\u00e1vel porta de entrada: uma vers\u00e3o adulterada de um plugin pago de constru\u00e7\u00e3o de p\u00e1ginas<\/strong>, com c\u00f3digo alterado para burlar a licen\u00e7a, al\u00e9m de uma c\u00f3pia do arquivo de configura\u00e7\u00e3o do WordPress esquecida na pasta p\u00fablica. O spam oculto foi removido, o plugin adulterado foi substitu\u00eddo e a c\u00f3pia de configura\u00e7\u00e3o saiu do ar.<\/p>\n
Caso 3: o nosso pr\u00f3prio blog<\/h3>\n
Em julho de 2026, revisando o blog da W2 Websites, encontramos links ocultos (com
display:none<\/code>) para sites de apostas dentro de tr\u00eas posts antigos. Nada aparecia para quem lia o post: s\u00f3 no c\u00f3digo-fonte. Limpamos os tr\u00eas posts, ativamos o Wordfence e a prote\u00e7\u00e3o contra tentativas de login repetidas, desativamos os recursos de pingback do XML-RPC e trocamos as senhas dos usu\u00e1rios. Contamos isso porque \u00e9 o tipo de invas\u00e3o mais comum e mais subestimado: ela n\u00e3o derruba o site, n\u00e3o assusta o visitante, s\u00f3 usa a reputa\u00e7\u00e3o do seu dom\u00ednio no Google para promover o site de outra pessoa.<\/p>\nO que n\u00e3o fazer<\/h2>\n
- \n
- Restaurar um backup antigo e considerar resolvido.<\/strong> Voc\u00ea n\u00e3o sabe quando o invasor entrou (no caso 1, havia arquivo malicioso de quase um ano antes). O backup pode j\u00e1 estar infectado e, mesmo limpo, a porta de entrada continua aberta.<\/li>\n
- Instalar um plugin de seguran\u00e7a e s\u00f3.<\/strong> Ele ajuda a encontrar e proteger, mas n\u00e3o reinstala o n\u00facleo, n\u00e3o limpa o banco de dados e n\u00e3o troca as suas senhas.<\/li>\n
- Apagar os arquivos suspeitos sem trocar senhas e salts.<\/strong> Se o invasor tem a senha da hospedagem, ele grava tudo de novo.<\/li>\n
- Olhar s\u00f3 a lista de usu\u00e1rios.<\/strong> Os invasores modernos preferem portas de acesso em arquivos a contas vis\u00edveis.<\/li>\n
- Usar plugins e temas “nulled”.<\/strong> Vers\u00e3o pirata de plugin pago \u00e9 uma das portas de entrada mais comuns, como no caso 2.<\/li>\n
- Esperar para ver se melhora.<\/strong> Enquanto o site est\u00e1 comprometido, ele pode estar atacando os seus visitantes, sendo marcado como perigoso pelo Google e perdendo posi\u00e7\u00f5es.<\/li>\n<\/ul>\n
Como evitar que aconte\u00e7a de novo<\/h2>\n
- \n
- WordPress, plugins e temas sempre atualizados, como mostramos no guia de atualiza\u00e7\u00e3o de sites<\/a>.<\/li>\n
- Remover plugins e temas que n\u00e3o s\u00e3o usados (desativar n\u00e3o basta: o arquivo continua acess\u00edvel).<\/li>\n
- S\u00f3 plugins e temas de fonte oficial ou com licen\u00e7a original.<\/li>\n
- Senhas fortes e \u00fanicas, autentica\u00e7\u00e3o em duas etapas para administradores e limite de tentativas de login.<\/li>\n
- Execu\u00e7\u00e3o de PHP bloqueada em
wp-content\/uploads\/<\/code> e edi\u00e7\u00e3o de arquivos pelo painel desativada (DISALLOW_FILE_EDIT<\/code>).<\/li>\n- XML-RPC bloqueado se n\u00e3o for usado.<\/li>\n
- Scanner de malware com varreduras peri\u00f3dicas.<\/li>\n
- Backup autom\u00e1tico guardado fora do servidor, com restaura\u00e7\u00e3o testada.<\/li>\n<\/ul>\n
Esses cuidados fazem parte de uma rotina de manuten\u00e7\u00e3o de sites<\/a>. Para uma vis\u00e3o mais ampla de preven\u00e7\u00e3o, veja tamb\u00e9m como proteger o seu site de ataques e malware<\/a>.<\/p>\n
Quem resolve e quanto custa<\/h2>\n
Quem tem familiaridade com SSH, WP-CLI e a estrutura do WordPress consegue seguir os passos acima. Para quem n\u00e3o tem, o risco \u00e9 limpar s\u00f3 o que est\u00e1 vis\u00edvel. Na W2 Websites, a remo\u00e7\u00e3o de malware em WordPress<\/a> custa R$ 497<\/strong> na limpeza avulsa (an\u00e1lise, remo\u00e7\u00e3o, limpeza do banco, corre\u00e7\u00e3o das vulnerabilidades b\u00e1sicas e relat\u00f3rio t\u00e9cnico) e R$ 897<\/strong> na limpeza com prote\u00e7\u00e3o (inclui refor\u00e7o de seguran\u00e7a completo, firewall, remo\u00e7\u00e3o de lista de bloqueio do Google e 30 dias de monitoramento). Quem prefere n\u00e3o passar por isso de novo pode manter o site num plano de manuten\u00e7\u00e3o preventiva, a partir de R$ 200 por m\u00eas<\/strong>, com limpeza inclusa em caso de infec\u00e7\u00e3o.<\/p>\n
Conclus\u00e3o<\/h2>\n
Um site WordPress hackeado quase nunca tem um problema s\u00f3. Os tr\u00eas casos acima tinham, juntos, gerenciadores de arquivos sem senha, plugins falsos, c\u00f3digo em temas inativos, spam escondido fora da tela e plugin pirata como porta de entrada, e em nenhum deles bastaria apagar o que estava \u00e0 vista. Backup antes de mexer, troca de todas as credenciais, varredura completa, limpeza pela raiz e corre\u00e7\u00e3o da porta de entrada: \u00e9 essa ordem que impede o invasor de voltar.<\/p>\n
- Instalar um plugin de seguran\u00e7a e s\u00f3.<\/strong> Ele ajuda a encontrar e proteger, mas n\u00e3o reinstala o n\u00facleo, n\u00e3o limpa o banco de dados e n\u00e3o troca as suas senhas.<\/li>\n
- Arquivos PHP dentro de
- Redirecionamentos:<\/strong> visitantes (principalmente quem vem do Google ou do celular) s\u00e3o mandados para outro site.<\/li>\n