WordPress hackerato: i segnali e dove controllarli uno per uno

WindowsMacAggiornato 2026-10-24

Le FAQ di WordPress sui siti hackerati indicano come segnale chiaro di un attacco i nuovi utenti che nessuno ha autorizzato, insieme alla presenza del sito nelle liste nere di Google o Bing, alla sospensione del sito da parte dell'hosting e all'antivirus dei visitatori che lo segnala. Il report di Google Search Console aggiunge reindirizzamenti, testo di spam e pagine di spam create dagli hacker. Quasi tutto si controlla dalla Bacheca e da Search Console.

Risposta breve

Vai in Utenti > Tutti gli utenti e filtra per Amministratore, cercando account che non hai creato. Apri il report Problemi di sicurezza in Google Search Console per contenuti compromessi, spam inserito e codice dannoso. Controlla Pagine > Tutte le pagine e Articoli > Tutti gli articoli per contenuti che non hai scritto, e verifica se .htaccess, index.php, header.php o footer.php sono cambiati.

Cosa considera WordPress un segnale di attacco?

WordPress li chiama indicatori di compromissione. Le sue FAQ (in inglese) indicano questi come segnali chiari:

il sito è nella lista nera di Google, Bing o servizi simili
l'hosting ha disattivato il sito
il sito è stato segnalato perché distribuisce malware
i lettori dicono che il loro antivirus lo segnala
qualcuno ti avvisa che il sito viene usato per attaccare altri siti
comportamenti che non hai autorizzato, come nuovi utenti
vedi l'attacco aprendo il sito nel browser

Google spiega che gli hacker possono usare tecniche di cloaking per nascondere lo spam al proprietario del sito, quindi un sito che a te sembra normale non è, da solo, una prova.

Come controllo se ci sono amministratori che non ho aggiunto?

La schermata Utenti elenca tutti gli account, e i link sopra la tabella li filtrano per ruolo. Comincia dagli amministratori: la guida di WordPress sulla protezione del sito dice che un hacker con accesso a un account amministratore può installare script dannosi.

Nella Bacheca vai in Utenti > Tutti gli utenti.
Fai clic sul link Amministratore sopra la tabella.
Leggi Nome utente, Nome ed Email di ogni account. Annota quelli che non riconosci, con la data in cui li hai notati.
Fai clic su Tutti gli utenti e guarda anche gli altri ruoli.
Vai in Impostazioni > Generali e guarda Iscrizione e Ruolo predefinito nuovi utenti. WordPress elenca Amministratore tra le scelte possibili per il ruolo predefinito dei nuovi utenti.

Annota tutto prima di eliminare qualcosa. Le FAQ di WordPress dicono che documentare quello che vedi è il primo passo concreto dopo una compromissione.

Come riconosco un reindirizzamento dannoso?

Il report Problemi di sicurezza di Google elenca l'iniezione di codice, quando un hacker ha compromesso il sito e inietta codice dannoso nelle pagine, e fa l'esempio dei reindirizzamenti a un sito dannoso. Sul lato WordPress, le FAQ indicano il file .htaccess come quello da guardare di sicuro, perché è il più spesso modificato per scopi malevoli.

Apri il report Problemi di sicurezza in Search Console. Espandi ogni problema per vedere gli esempi di URL e la data in cui è stato rilevato per la prima volta.
Collegati al sito via FTP o SFTP e apri il file .htaccess nella cartella di WordPress. Cerca righe che non hai aggiunto.
Controlla anche le altre cartelle. WordPress dice che .htaccess di solito sta nella cartella principale dell'installazione, ma può comparire anche in altre.

Come trovo pagine di spam sul mio sito?

Google ne descrive due tipi. L'iniezione di contenuti è quando «Un hacker ha aggiunto link o testo contenente spam alle pagine del tuo sito». L'iniezione di URL è quando «Un hacker ha creato nuove pagine sul tuo sito, che tipicamente includono parole o link contenenti spam».

Vai in Pagine > Tutte le pagine. WordPress mostra prima le più recenti, con le colonne Autore e Data, quindi cerca in cima alla lista titoli che non riconosci.
Usa i link di stato sopra la tabella, come Bozza e Privato, per vedere le pagine non pubbliche.
Scrivi nella casella di ricerca una parola dello spam e fai clic su Cerca pagine.
Ripeti in Articoli > Tutti gli articoli.
Confronta quello che trovi con gli esempi di URL del report Problemi di sicurezza.

Cosa significano gli avvisi di Google?

Significano che Google ha trovato un problema che secondo la sua valutazione può danneggiare i visitatori. Google scrive che pagine o siti con un problema di sicurezza possono comparire con un'etichetta di avviso nei risultati di ricerca, oppure con una pagina interstitial di avviso nel browser. Le FAQ di WordPress aggiungono che gli avvisi vanno da grandi pagine a schermo intero a note più discrete nei risultati, e che anche Bing, Yahoo e gli antivirus hanno le loro liste nere.

Apri il report Problemi di sicurezza in Search Console. Se non ci sono problemi vedi un segno di spunta verde, altrimenti il report li elenca.
Espandi ogni problema per gli esempi di URL, la data del primo rilevamento e il link con ulteriori informazioni.
Registrati anche a Bing Webmaster Tools. Le FAQ di WordPress consigliano di registrarsi agli strumenti per webmaster, compreso quello di Bing.

Google chiede di risolvere tutti i problemi elencati, in tutte le pagine, prima di selezionare Richiedi esame, e di aspettare una decisione prima di inviare una nuova richiesta.

Come controllo se dei file sono stati modificati?

La Bacheca non elenca le modifiche ai file. La guida di WordPress sulla protezione del sito dice che un attacco lascia sempre tracce, nei log o nel file system, come file nuovi o modificati. Le FAQ indicano alcuni file da tenere d'occhio perché una loro modifica può toccare ogni pagina: index.php, header.php, footer.php e il file delle funzioni del tema.

Fai una scansione. Le FAQ di WordPress citano plugin di scansione della directory di WordPress.org e scanner remoti, e dicono che nessuno strumento è il migliore, ma usarli insieme migliora molto le probabilità.
Via FTP o SFTP confronta quei file e .htaccess con un backup fatto prima dei problemi.
Se l'hosting ti dà accesso ai log, la guida sulla protezione del sito dice che possono mostrare tentativi di accesso a forza bruta e quando sono stati usati l'Editor del tema e l'Editor del plugin.
Controlla anche il tuo computer. WordPress scrive che alcuni attacchi partono dal computer del proprietario, con trojan che catturano le credenziali FTP e quelle di amministrazione.

Se uno di questi controlli trova qualcosa, annota cosa hai visto e quando, poi segui sito hackerato, cosa fare.

Altre domande

Un sito WordPress può essere hackerato senza segni visibili?

Sì. Google scrive che gli hacker possono usare il cloaking per nascondere lo spam ai proprietari, e le FAQ di WordPress dicono che non tutti gli attacchi sono uguali. Per questo vale la pena controllare il report Problemi di sicurezza e fare una scansione dei file anche quando il sito ti sembra normale.

Devo eliminare subito gli amministratori sconosciuti?

Prima annotali. Le FAQ di WordPress mettono la documentazione al primo posto, e dicono di fare un'ultima copia del sito prima di ripulirlo, anche se infetta. La guida al recupero spiega quando eliminarli e reimpostare le password di tutti.

E se non riesco più ad accedere a WordPress?

Le FAQ di WordPress dicono che a volte un attaccante prende il controllo degli account amministratore. Puoi reimpostare la password, oppure usare phpMyAdmin dal tuo hosting per arrivare direttamente alla tabella degli utenti. Una strada più semplice che indicano è cambiare lì il tuo indirizzo email, poi usare «Password dimenticata?» nella schermata di accesso.

Il mio sito WordPress è stato hackerato a causa di PHP2Shell?

Non per forza. PHP2Shell sono due vulnerabilità di PHP, che il progetto PHP ha corretto il 21 ottobre 2026. Al 23 ottobre 2026 l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione, mentre il CSIRT Italia segnala che in rete sono disponibili proof of concept. Controlla la versione di PHP del sito e leggi la guida alla vulnerabilità PHP per il contesto.

Aggiornare WordPress elimina l'attacco?

Non da solo. Le FAQ di WordPress mettono l'aggiornamento dopo la pulizia: aggiorna quando il sito è pulito, perché le versioni vecchie sono più esposte agli attacchi, e cambia di nuovo le password dopo la pulizia.