Descobrir que precisa remover malware do WordPress costuma vir de um susto: o Google marca o site como “perigoso”, a hospedagem manda um e-mail avisando sobre atividade suspeita, ou o próprio site começa a redirecionar visitantes pra páginas estranhas de apostas ou remédios. Antes do pânico, vale saber que a grande maioria das infecções em WordPress segue um padrão bem conhecido e tem solução — o importante é agir na ordem certa, sem apagar evidências que ajudariam a entender como o invasor entrou.
Primeiro passo: isole o site antes de mexer em qualquer coisa
Coloque o site em modo de manutenção ou, se a hospedagem permitir, suspenda o acesso público temporariamente. Isso evita que mais visitantes sejam expostos ao conteúdo malicioso enquanto a limpeza acontece, e também impede que o script continue rodando e reinfectando arquivos já limpos.
Faça um backup completo — mesmo do site infectado
Parece contraintuitivo, mas um backup completo do site, incluindo banco de dados, serve como ponto de restauração caso algo dê errado durante a limpeza, e também preserva os arquivos maliciosos como evidência — pode ser necessário analisá-los depois pra entender a porta de entrada.
Troque todas as senhas antes de continuar
Senha do WordPress, do banco de dados, do FTP/SFTP e do painel da hospedagem — todas, sem exceção, mesmo que pareça excessivo. Se o invasor teve acesso a qualquer uma delas, reinfectar o site depois da limpeza é trivial. Use senhas geradas aleatoriamente, nunca reaproveitadas de outro serviço.
🚀 Não fique de fora!
Junte-se aos leitores que recebem, em primeira mão, as melhores estratégias de marketing digital, SEO e IA — direto no e-mail, toda semana.
Identifique e remova os arquivos maliciosos
Um plugin de segurança com scanner de malware (Wordfence, Sucuri Security ou MalCare) compara os arquivos do núcleo do WordPress com os arquivos originais oficiais e sinaliza qualquer diferença suspeita — normalmente código ofuscado inserido em arquivos de tema, plugins desatualizados ou até em uploads disfarçados de imagem. Arquivos do núcleo do WordPress que aparecem modificados podem simplesmente ser substituídos por uma reinstalação limpa da mesma versão, baixada direto do WordPress.org.
- Reinstale o WordPress (núcleo) baixando a versão exata já instalada direto do site oficial.
- Remova plugins e temas não reconhecidos — qualquer coisa que ninguém da equipe lembra de ter instalado é suspeita por padrão.
- Revise o arquivo
wp-config.phpe o.htaccess— alvos comuns pra redirecionamentos maliciosos escondidos. - Verifique usuários administradores — invasores costumam criar um usuário admin extra como porta dos fundos.
Limpe também o banco de dados
Malware em WordPress não fica só em arquivo — é comum encontrar código malicioso injetado direto em posts, widgets ou nas opções salvas no banco de dados. Ferramentas de scanner geralmente sinalizam essas ocorrências também, mas vale uma checagem manual em tabelas como wp_options e wp_posts procurando por trechos de JavaScript ou PHP que não deveriam estar ali.
Entenda como o invasor provavelmente entrou
Na grande maioria dos casos, a porta de entrada é uma destas três: um plugin ou tema desatualizado com vulnerabilidade já conhecida publicamente, uma senha fraca ou reaproveitada de outro serviço vazado, ou um tema/plugin “nulled” (versão pirata de um produto pago, baixada fora do repositório oficial) que já vem com backdoor embutido de fábrica. Essa última é surpreendentemente comum e quase nunca é considerada pelo dono do site — se algum tema ou plugin do site foi baixado de um lugar que não é o WordPress.org, a loja oficial do desenvolvedor ou o CodeCanyon, ele deveria ser o primeiro suspeito.
Monitore o site nas semanas seguintes à limpeza
Uma infecção “resolvida” às vezes volta dias depois porque um arquivo malicioso ficou escondido numa pasta de upload ou num plugin secundário que o scanner não analisou a fundo. Vale manter o monitoramento de integridade de arquivos ativo por pelo menos 30 dias após a limpeza, revisando o log de atividades do site (quem logou, o que foi alterado) e comparando o tráfego no Google Search Console em busca de páginas novas e desconhecidas que porventura ainda estejam sendo indexadas.
Peça a reavaliação do Google se o site foi marcado como perigoso
Depois de confirmar que o site está limpo, use o Google Search Console para solicitar uma nova análise de segurança. Isso costuma remover o aviso de “site perigoso” nos resultados de busca e no Chrome em poucos dias, desde que a limpeza tenha sido completa — uma reinfecção rápida depois do pedido de reavaliação é o erro mais comum nessa etapa.
Como evitar que aconteça de novo
A prevenção de verdade combina alguns hábitos simples: manter WordPress, tema e plugins de segurança sempre atualizados, remover qualquer plugin ou tema que não está mais em uso ativo (mesmo desativado, código vulnerável em disco é risco), usar autenticação em duas etapas no login administrativo, e configurar backups automáticos frequentes — a diferença entre um incidente de algumas horas e um pesadelo de dias geralmente é ter um backup limpo recente pra restaurar.
A própria documentação oficial do WordPress tem um guia de hardening de segurança com configurações mais avançadas de permissão de arquivo e proteção de diretório pra quem quer ir além do básico.
Perguntas frequentes
Dá pra remover malware do WordPress sem contratar um especialista?
Em infecções simples, sim — um bom plugin de segurança resolve a maior parte dos casos. Em infecções mais sofisticadas (com código muito ofuscado ou acesso root comprometido na hospedagem), vale contratar um serviço especializado em remoção de malware, que também investiga a causa raiz com mais profundidade.
Restaurar um backup antigo já resolve o problema?
Só se o backup for de antes da infecção e a porta de entrada (senha vazada, plugin vulnerável) já tiver sido corrigida — senão o site é reinfectado rapidamente pelo mesmo caminho.
Levar a segurança do WordPress a sério não é paranoia — é o tipo de manutenção que, feita com regularidade, evita praticamente todo esse processo de emergência.
Sobre Ronaldo Costa
Especialista em web design, desenvolvimento WordPress e marketing digital, com 11 anos de mercado e mais de 200 projetos entregues desde 2014. Hoje publica no blog conteúdo prático sobre IA, SEO, monetização e automação de blogs — sempre testado primeiro no próprio site.
🚀 Não fique de fora!
Junte-se aos leitores que recebem, em primeira mão, as melhores estratégias de marketing digital, SEO e IA — direto no e-mail, toda semana.