WordPress hackeado: como identificar, limpar e recuperar o site
Resposta rápida
Se o WordPress foi hackeado, tire uma cópia do estado atual, troque as senhas, restaure uma versão limpa ou remova os arquivos maliciosos e atualize tudo. Depois, procure portas dos fundos, feche a falha que permitiu a entrada e, se houver alerta, peça revisão no Google Search Console somente depois da limpeza.
Em uma invasão, a pressa é natural, e também é o que mais causa recontaminação. Apagar o arquivo estranho sem fechar a porta de entrada costuma trazer o problema de volta em poucos dias. O trabalho tem uma ordem: conter, entender, limpar, proteger e só então pedir a revisão.
Sinais de que o site foi invadido
- O Google ou o navegador mostra um aviso de site enganoso ou perigoso.
- A busca do Google exibe títulos estranhos, como de farmácia, apostas ou outros idiomas.
- Visitantes são redirecionados a outro site, às vezes só pelo celular ou vindos do Google.
- Aparecem usuários administradores que ninguém criou.
- Surgem arquivos desconhecidos ou o provedor envia alerta de malware.
- O servidor passa a enviar spam ou fica com consumo anormal.
O relatório de problemas de segurança do Google Search Console é um bom ponto de partida para confirmar.
Como recuperar o site passo a passo
- Registre o que está acontecendo. Tire prints, anote o horário e os avisos recebidos.
- Faça uma cópia do estado atual. Baixe arquivos e banco de dados, mesmo infectados, e guarde separados. Ela ajuda a investigar.
- Coloque o site em manutenção. Se ele estiver distribuindo malware, tire-o do acesso público enquanto trabalha, respondendo com código 503.
- Troque todas as senhas. Inclua WordPress, hospedagem, FTP, banco de dados e e-mails. Troque também as chaves de segurança do
wp-config.php. - Revise os usuários. Remova administradores desconhecidos.
- Restaure ou limpe. Se houver backup anterior à invasão, compare e restaure. Sem backup, reinstale o WordPress, os plugins e os temas a partir de fontes oficiais.
- Procure portas dos fundos. Verifique a pasta de uploads,
.htaccess,wp-config.php, tarefas agendadas e o banco de dados. - Atualize tudo. Núcleo, plugins, temas e PHP. Remova o que não é usado e qualquer plugin pirata.
- Feche a causa. Descubra a falha que permitiu a entrada, consultando os logs e os avisos do plugin afetado.
- Peça a revisão. Se o Google marcou o site, solicite a análise no Search Console depois de concluir a limpeza.
De onde costuma vir a invasão
Segundo a Patchstack, 91% das 11.334 vulnerabilidades novas registradas no ecossistema WordPress em 2025 estavam em plugins, e 9% em temas. O núcleo teve apenas 6, de baixa prioridade. Entre as falhas mais exploradas, a mediana até o ataque em massa foi de 5 horas.
Por isso, plugins desatualizados e temas ou plugins pirateados estão entre os primeiros lugares a investigar, ao lado de senhas reaproveitadas ou vazadas.
Como pedir a revisão do Google
No Search Console, abra o relatório de problemas de segurança, confirme que todos os itens foram corrigidos e selecione a solicitação de revisão, descrevendo o que foi feito.
Peça apenas quando o problema estiver realmente resolvido. Segundo o web.dev, pedir a revisão com o problema ainda presente só prolonga o período em que o site fica marcado. Revisões de malware costumam levar alguns dias, e as de spam em sites invadidos podem levar várias semanas.
Preciso avisar clientes sobre a invasão?
Se o site guarda dados pessoais, como cadastros e pedidos, avalie a questão com um advogado. A Lei Geral de Proteção de Dados (LGPD) exige medidas de segurança e prevê, no artigo 48, a comunicação à Autoridade Nacional de Proteção de Dados e ao titular quando um incidente puder causar risco ou dano relevante. Registre o que aconteceu e quais dados podem ter sido expostos.
Como evitar uma nova invasão
| Medida | Por que ajuda |
|---|---|
| Atualizar plugins e temas com rotina | Reduz o tempo de exposição a falhas conhecidas |
| Remover o que não é usado | Diminui os pontos de entrada |
| Evitar plugin e tema pirata | Esse tipo de arquivo pode já vir com código malicioso |
| Ativar autenticação em dois fatores | Protege o login quando uma senha vaza |
| Dar a cada pessoa apenas o acesso necessário | Limita o estrago de uma conta comprometida |
| Manter backups fora do servidor e testados | Permite voltar a uma versão limpa |
| Monitorar arquivos, alertas e disponibilidade | Reduz o tempo até perceber o problema |
Esse trabalho faz parte de uma boa manutenção de site WordPress.
Perguntas frequentes
Basta restaurar o backup para resolver?
Nem sempre. O backup precisa ser anterior à invasão, e a falha que permitiu a entrada continua existindo depois de restaurar. Sem atualizar os componentes e trocar as senhas, o site pode ser invadido de novo pelo mesmo caminho.
Como tirar o aviso de site enganoso do Google?
Limpe o site por completo, confirme que nenhum conteúdo malicioso continua sendo servido e solicite a revisão no relatório de problemas de segurança do Search Console. O aviso sai depois que o Google conclui a análise.
Plugin de segurança resolve tudo?
Não. Ele ajuda a detectar problemas e bloquear parte dos ataques, mas não substitui atualizações, boas senhas e backups. Um scanner também pode deixar passar código bem escondido. Use-o como uma camada de proteção.
Devo trocar de hospedagem depois de uma invasão?
Só depois de limpar e entender a causa. Migrar um site infectado leva o problema junto. Troque se a investigação indicar que a origem está no ambiente, ou se o provedor não oferece isolamento, logs ou backup adequados.
Fontes
Consultadas em 4 de novembro de 2026.
