Sinais de que o seu WordPress foi hackeado, e onde conferir cada um

WindowsMacAtualizado 2026-10-24

O próprio FAQ do WordPress sobre sites hackeados chama de sinal claro de invasão usuários novos que ninguém autorizou, ao lado de o site ser marcado pelo Google ou pelo Bing, de a hospedagem desativá-lo e de o antivírus dos visitantes avisar sobre ele. O Google Search Console acrescenta redirecionamentos, textos de spam e páginas de spam criadas por hackers. A maioria desses sinais dá para conferir pelo painel e pelo Search Console.

Resposta rápida

Vá em Usuários > Todos os usuários e filtre por Administrador para achar contas que você não criou. Abra o relatório Problemas de segurança no Google Search Console para ver conteúdo invadido e código malicioso. Confira Páginas > Todas as páginas e Posts > Todos os posts atrás de conteúdo que você não escreveu, e veja se o .htaccess, o index.php, o header.php ou o footer.php mudaram.

O que o WordPress considera sinal de invasão?

O WordPress chama esses sinais de indicadores de comprometimento. O FAQ dele lista estes como claros:

o site aparece em listas de bloqueio do Google, do Bing ou parecidas
a hospedagem desativou o site
o site foi marcado por distribuir malware
leitores dizem que o antivírus deles avisa sobre o site
alguém avisa que o site está sendo usado para atacar outros sites
comportamentos que você não autorizou, como usuários novos
dá para ver a invasão ao abrir o site no navegador

O FAQ diz também que nem todas as invasões são iguais. A ajuda do Google lembra que hackers podem ocultar o spam do dono do site com técnicas de cloaking, então um site que parece normal para você não é prova sozinho.

Como confiro se há administradores que eu não adicionei?

A tela Usuários lista todas as contas, e os links acima da tabela filtram por função. Comece pelos administradores: o guia de segurança do WordPress diz que um invasor com acesso a uma conta de administrador consegue instalar scripts maliciosos.

No painel, vá em Usuários > Todos os usuários.
Clique no link Administrador acima da tabela.
Leia o Nome de usuário, o Nome e o E-mail de cada conta. Anote as que você não reconhece e a data em que as viu.
Clique em Todos os usuários e confira as outras funções também.
Vá em Configurações > Geral e veja Membros e Função padrão para novo usuário. O WordPress lista Administrador entre as opções dessa função padrão.

Anote antes de apagar qualquer coisa. O FAQ do WordPress chama o registro do que você vê de primeiro passo prático depois de uma invasão.

Como identifico um redirecionamento malicioso?

O relatório Problemas de segurança do Google lista a injeção de código, em que "um hacker comprometeu seu site e está injetando códigos mal-intencionados nas páginas", e dá como exemplo redirecionamentos para um site malicioso. Do lado do WordPress, o FAQ destaca o arquivo .htaccess como um que você vai querer examinar com certeza, porque é o mais alterado e usado para fins maliciosos.

Abra o relatório Problemas de segurança no Search Console. Expanda cada problema para ver exemplos de URLs e a data em que ele foi detectado pela primeira vez.
Conecte-se ao site por FTP ou SFTP e abra o arquivo .htaccess na pasta do WordPress. Procure linhas que você não adicionou.
Confira outras pastas também. O WordPress diz que o .htaccess costuma ficar na raiz da instalação, mas pode aparecer dentro de outros diretórios.

Como acho páginas de spam no meu site?

O Google descreve dois tipos. Na injeção de conteúdo, "um hacker adicionou links ou textos de spam às páginas do site". Na injeção de URL, "um hacker criou novas páginas no site contendo palavras ou links com spam".

Vá em Páginas > Todas as páginas. O WordPress lista as mais recentes primeiro, com as colunas Autor e Data, então procure no topo títulos que você não reconhece.
Use os links de status acima da tabela, como Rascunho e Privado, para ver páginas que não estão públicas.
Digite uma palavra do spam na caixa de busca e clique em Pesquisar páginas.
Repita em Posts > Todos os posts.
Compare o que encontrar com os exemplos de URLs do relatório Problemas de segurança.

O que significam os avisos do Google?

Significam que o Google encontrou um problema que, na avaliação dele, pode prejudicar os visitantes. O Google diz que páginas afetadas podem aparecer com um aviso nos resultados da pesquisa ou com uma página de aviso intersticial no navegador. O FAQ do WordPress acrescenta que os avisos vão de grandes páginas de alerta a notas discretas nos resultados de busca, e que o Bing, o Yahoo e antivírus de computador mantêm listas próprias.

Abra o relatório Problemas de segurança no Search Console. Uma marca de seleção verde quer dizer que o Google não encontrou problemas; caso contrário, aparece uma contagem.
Expanda cada problema para ver exemplos de URLs, a data da primeira detecção e um link Saiba mais.
Cadastre o site também no Bing Webmaster Tools. O FAQ do WordPress recomenda se registrar nos consoles para webmasters, entre eles o do Bing.

O Google pede que você corrija todos os problemas listados antes de selecionar Solicitar revisão, e que não envie outro pedido antes de receber a decisão final.

Como confiro se arquivos foram alterados?

O painel não lista mudanças em arquivos. O guia de segurança do WordPress diz que um ataque sempre deixa rastros, nos logs ou no sistema de arquivos, como arquivos novos ou modificados. O FAQ cita arquivos para vigiar porque uma mudança neles pode afetar todas as páginas: index.php, header.php, footer.php e o arquivo de funções do tema.

Rode uma verificação. O FAQ do WordPress cita plugins de verificação do diretório do WordPress.org e scanners remotos, e diz que nenhuma ferramenta é a melhor sozinha, mas que usá-las juntas aumenta muito as chances.
Por FTP ou SFTP, compare esses arquivos e o .htaccess com um backup feito antes do problema.
Se a hospedagem der acesso aos logs, o guia de segurança diz que eles podem mostrar tentativas de força bruta e quando os editores de arquivos de tema e de plugin foram usados.
Verifique também o seu computador. O WordPress diz que alguns ataques começam na máquina do dono, com cavalos de Troia que capturam logins de FTP e do painel.

Se alguma dessas verificações encontrar algo, anote o que viu e quando, e siga site hackeado: o que fazer, que cobre a recuperação na ordem certa.

Mais perguntas

Um WordPress pode ser hackeado sem sinais visíveis?

Pode. O Google diz que hackers podem usar cloaking para esconder o spam dos donos de sites, e o FAQ do WordPress diz que nem todas as invasões são iguais. Por isso vale olhar o relatório Problemas de segurança e rodar uma verificação de arquivos mesmo quando o site parece normal.

Devo apagar logo os administradores desconhecidos?

Anote primeiro. O FAQ do WordPress diz que o registro vem antes, e que vale tirar mais uma cópia do site antes da limpeza, mesmo infectado. O guia de recuperação mostra quando apagá-los e redefinir as senhas de todos.

E se eu não conseguir mais entrar no WordPress?

O FAQ do WordPress diz que o invasor às vezes toma as contas de administrador. Você pode redefinir a senha ou usar o phpMyAdmin da hospedagem para chegar direto à tabela de usuários. Um caminho mais simples que ele dá é trocar o seu e-mail ali e depois usar o "Perdeu a senha?" na tela de login.

O meu WordPress foi hackeado por causa do PHP2Shell?

Não necessariamente. O PHP2Shell é um par de falhas no PHP, corrigidas pelo projeto em 21 de outubro de 2026. Em 23 de outubro de 2026, o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. Confira a versão do PHP e leia o guia sobre a vulnerabilidade do PHP.

Atualizar o WordPress remove uma invasão?

Não sozinho. O FAQ do WordPress coloca a atualização depois da limpeza, dizendo para atualizar quando o site estiver limpo porque versões antigas são mais vulneráveis, e para trocar as senhas de novo depois.