O que Fazer se o Teu Site WordPress For Hackeado: Guia Completo de Recuperação

As tabelas mais frequentemente afetadas são wp_options (URLs do site, opções de plugins injetadas), wp_posts (spam SEO, links ocultos) e wp_users (contas admin maliciosas).

Passo 4 — Limpar a Infeção

Restaurar ficheiros core e plugins

A forma mais fiável de limpar os ficheiros core é reinstalá-los a partir da fonte oficial. O WP-CLI faz isso sem apagar o wp-config.php nem o wp-content/:

# Reinstalar o core WordPress (substitui todos os ficheiros core modificados)
wp core download --version=$(wp core version) --force

# Reinstalar todos os plugins a partir do WordPress.org
wp plugin install $(wp plugin list --field=name) --force

# Atualizar todos os plugins e temas
wp plugin update --all
wp theme update --all

Atenção: o comando de reinstalar plugins só funciona para plugins disponíveis no WordPress.org. Plugins premium (Elementor Pro, WP Rocket, etc.) têm de ser reinstalados manualmente a partir do ficheiro original do vendor.

Eliminar backdoors manualmente

Após reinstalar o core e os plugins, verifica e elimina manualmente:

• Todos os ficheiros .php em wp-content/uploads/
• O conteúdo de wp-content/mu-plugins/ (apaga tudo o que não reconheças)
• Os temas inativos — ou elimina-os, ou verifica-os ficheiro a ficheiro
• Ficheiros na raiz que não fazem parte do WordPress padrão

Adiciona um .htaccess ao diretório wp-content/uploads/ para bloquear a execução de PHP mesmo que algum ficheiro tenha escapado à limpeza:

<Files *.php>
deny from all
</Files>

Limpar a base de dados

Remove contas admin desconhecidas e conteúdo injetado:

# Eliminar utilizador suspeito (reassigna o conteúdo ao admin legítimo)
wp user delete ID_SUSPEITO --reassign=1

Para conteúdo spam injetado nos posts, acede ao phpMyAdmin ou usa a interface do WordPress para revisar e apagar os posts em questão.

Passo 5 — Restaurar a Partir de Backup (Quando Aplicável)

Se tens um backup limpo anterior à infeção, a restauração é frequentemente mais rápida e mais segura do que uma limpeza manual — especialmente em infeções extensas. A condição é garantir que o backup é anterior à infeção: verifica a data do backup e cruza com os logs de acesso ou com a data de primeiros sinais do hack.

Com o UpdraftPlus: painel WordPress → Definições → UpdraftPlus → Backups existentes → Restaurar. Se o wp-admin estiver inacessível, o UpdraftPlus Premium permite restaurar via FTP. O BlogVault e o ManageWP têm dashboards externos que funcionam mesmo com o site completamente inacessível.

Atenção crítica: restaurar o backup não elimina a vulnerabilidade que permitiu o hack. Se restauras o site sem atualizar o plugin que foi explorado, voltarás a ser hackeado em horas. Imediatamente após a restauração, atualiza tudo.

Passo 6 — Pós-Limpeza: Fechar Todas as Portas

Uma limpeza sem reforço de segurança é apenas um adiamento. Após confirmar que o site está limpo:

1. Resetar todas as passwords

# Forçar reset de password para TODOS os utilizadores (obriga a redefinir no próximo login)
wp user reset-password $(wp user list --field=ID) --skip-email

2. Regenerar as chaves secretas do WordPress

As chaves e salts no wp-config.php são usadas para assinar cookies de sessão. Ao regenerá-las, invalidas imediatamente todas as sessões ativas — incluindo qualquer sessão que o atacante possa ter aberta. Gera novas chaves em https://api.wordpress.org/secret-key/1.1/salt/ e substitui o bloco completo das 8 constantes (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, etc.) no wp-config.php.

3. Forçar o logout de todas as sessões

wp user session destroy --all --yes

4. Verificar e corrigir as permissões de ficheiros

# Diretórios: 755, Ficheiros: 644
find /caminho/para/wordpress -type d -exec chmod 755 {} ;
find /caminho/para/wordpress -type f -exec chmod 644 {} ;
# wp-config.php: máxima proteção
chmod 440 wp-config.php

Para um guia completo de hardening de permissões WordPress além do contexto de recuperação, incluindo permissões para wp-config.php e pastas sensíveis, ver o guia dedicado.

5. Ativar o hardening básico

Adiciona ao wp-config.php para desativar a edição de ficheiros no painel:

define('DISALLOW_FILE_EDIT', true);

Ativa o 2FA para todos os administradores, instala um WAF (Wordfence ou Cloudflare), e considera alterar o URL de login padrão.

6. Pedir revisão ao Google (se necessário)

Se o Google colocou o site na lista negra, após a limpeza vai ao Google Search Console → Segurança e ações manuais → Problemas de segurança → e clica em "Pedir revisão". O processo demora geralmente entre 1 e 3 dias úteis.

Serviços Profissionais de Limpeza

Se a infeção for complexa, o tempo for crítico, ou simplesmente não tiveres confiança para fazer a limpeza manualmente, existem serviços especializados:

O MalCare destaca-se pela limpeza automática com um clique (sem intervenção humana inicial), com garantia de reembolso se a limpeza falhar. A Sucuri e o Wordfence Care são as opções preferidas para sites de negócio onde a componente forense (perceber como entraram, não só limpar) é importante.

Passo 7 — Monitorização nos Dias Seguintes

A recuperação não termina quando o site volta online. As reinfecções mais comuns acontecem nas primeiras 48–72 horas após a limpeza, quando um backdoor que escapou ao scan inicial é reativado ou quando o mesmo vetor de entrada (um plugin desatualizado, uma conta comprometida) é explorado de novo. Esta é a fase de vigilância ativa.

Configurar alertas de email no Wordfence

Se o Wordfence está instalado, vai a Wordfence → Todas as Opções → Alertas de email e ativa pelo menos:

• Alertas sobre problemas críticos — atividade admin suspeita, novos utilizadores com papel de administrador, ficheiros modificados.
• Alertas de scan — notificação quando o scan semanal (ou diário, no Premium) deteta problemas novos.
• Alertas de login falhado — úteis para detetar ataques de força bruta em curso.

Verificar os logs de acesso durante 72 horas

Pede ao hosting acesso aos logs de acesso HTTP (access.log ou similar). Procura padrões suspeitos: pedidos POST para ficheiros PHP que não deveriam receber POST, pedidos a caminhos que não existem, IPs que fazem muitos pedidos em sequência a URLs com padrões de injeção (parâmetros com base64_decode, eval, ou traversal de diretório como ../../). Muitos painéis de hosting (cPanel, Plesk) têm um visualizador de logs em tempo real — usa-o durante os dois dias seguintes à recuperação.

Bloquear o diretório uploads via PHP

Além do .htaccess já mencionado no Passo 4, confirma que o diretório wp-content/uploads/ não executa PHP ao nível do servidor. Em Nginx, isso requer uma diretiva específica no ficheiro de configuração do vhost — pede ao hosting que verifique. Em Apache, o .htaccess com deny from all para ficheiros .php é suficiente se o AllowOverride All estiver ativo para esse diretório.

Agendar um scan completo para 7 dias depois

Passada uma semana, corre um novo scan completo com o Wordfence (ou Sucuri SiteCheck para a camada pública) e verifica novamente a lista de administradores e os ficheiros em mu-plugins/ e uploads/. Se o site está limpo ao fim de 7 dias e todos os vetores de entrada foram fechados (plugins atualizados, passwords resetadas, backdoors removidos, permissões corrigidas), a probabilidade de reinfecção é muito baixa. Se aparecer malware novo, o processo foi incompleto — há um backdoor ou vetor ativo que não foi detetado na primeira passagem.

Conclusão: a Limpeza é o Início, Não o Fim

Recuperar de um hack WordPress é um processo com um início definido — o momento da descoberta — mas cujo verdadeiro sucesso só se mede semanas depois, quando o site continua limpo e sem reinfecções. A maioria das reinfecções acontece porque a vulnerabilidade original não foi eliminada, porque algum backdoor sobreviveu à limpeza, ou porque as passwords não foram todas resetadas.

Segue o processo completo — scan, limpeza, restauro, hardening —, monitoriza os logs durante os dias seguintes, e trata este incidente como um ponto de viragem para implementar as práticas de segurança preventiva que podem não ter estado no topo das prioridades até agora.

O teu site WordPress foi comprometido e precisas de ajuda urgente? A OnePixel presta serviços de recuperação de sites WordPress e manutenção preventiva para empresas em Portugal — mesmo que não tenhas os acessos ou o site tenha sido feito por outra empresa. Contacta-nos: situações urgentes têm prioridade e o diagnóstico é gratuito.