WordPress hackeado: o que fazer, passo a passo

Site invadido? Veja o que fazer na ordem da documentação do WordPress: documentar, varrer, trocar acessos, fazer backup, limpar os arquivos e atualizar.

Por Redação Eleven Host · @robson.direitodigital · 28 de outubro de 2026 · 8 min de leitura

Com o WordPress hackeado, mantenha a calma e anote o que vê. Troque os acessos, tire um backup do estado atual, substitua wp-admin e wp-includes pela mesma versão, revise wp-content e o .htaccess, atualize e troque as senhas de novo.

Este guia segue a ordem do FAQ oficial do WordPress sobre sites invadidos ("My site was hacked"), com alguns comandos para quem tem o site em uma VPS. Os nomes seudominio.com.br e /var/www/seusite são exemplos. Troque pelos seus. A sequência abaixo organiza os passos.

Sinais de que o site foi invadido

A documentação do WordPress lista situações que indicam uma invasão. Veja se alguma delas aconteceu com o seu site:

• o site entrou na lista negra do Google, do Bing ou de outro buscador;
• a empresa de hospedagem desativou o site;
• o site foi marcado por distribuir malware, que é software feito para causar dano;
• leitores avisam que o antivírus acusa o seu site;
• você recebeu um aviso de que o site está sendo usado para atacar outros;
• apareceram coisas que você não autorizou, como usuários novos;
• a invasão aparece à vista quando o site é aberto.

Se algum item da lista bate com o que você vê, siga para o passo 1.

Passo 1: mantenha a calma e documente

A primeira orientação da documentação é manter a calma. Antes de mexer, anote:

• o que você está vendo no site;
• a que horas você notou, com o fuso horário;
• o que mudou antes do problema, como um plugin novo, um tema ou um widget;
• os dados do servidor onde o site está.

Essas anotações podem ajudar você, e quem for ajudar, a entender por onde o invasor entrou.

Passo 2: faça uma varredura no site e no seu computador

Peça uma varredura do site. Você pode usar plugins de varredura de malware do repositório oficial do WordPress e verificadores online. Use o resultado como pista, não como prova de que o site está limpo.

Depois, verifique o seu próprio computador. A documentação afirma que, em muitos casos, a infecção começa na máquina local: programas maliciosos chamados trojans capturam o acesso de FTP e do /wp-admin. Rode um antivírus completo. Se ele não achar nada e a suspeita continuar, tente outro antivírus.

Esse passo vem antes de trocar as senhas, na ordem da documentação. Raciocínio nosso, que não vem da documentação: se o seu computador está infectado, uma senha nova digitada nele pode ser capturada de novo.

Passo 3: fale com a hospedagem e confira as listas negras

Avise a empresa que hospeda o seu site. Segundo a documentação, a invasão pode ter afetado mais do que o seu site, e o endereço IP do servidor pode entrar em lista negra de e-mail se o site foi usado para mandar spam.

Se o site foi parar em lista negra de um buscador, cadastre-o no Google Search Console e nas ferramentas para webmasters dos outros buscadores.

Passo 4: troque os acessos e derrube as sessões

Agora melhore os acessos. A documentação pede senhas complexas, longas e únicas, guardadas em um gerenciador de senhas. Troque a senha de cada acesso ligado ao site:

• FTP ou SFTP;
• o painel /wp-admin, para cada usuário;
• o painel da hospedagem;
• o usuário do MySQL, o banco de dados do site.

Em seguida, force a troca de senha dos usuários do WordPress, principalmente dos administradores. Para derrubar quem já está logado, troque as chaves secretas do arquivo wp-config.php. O WordPress tem um gerador oficial de chaves no endereço api.wordpress.org/secret-key/1.1/salt/. Cole as chaves novas no lugar das antigas.

A documentação recomenda ainda a autenticação em dois fatores, que no WordPress é feita por plugin.

Passo 5: faça backup antes de limpar

Se você tem um backup limpo, de antes da invasão, dá para restaurá-lo. Mesmo assim, a documentação orienta tirar mais uma cópia do estado atual, mesmo infectado, antes de limpar. Cuidado nosso: uma cópia a mais pode ajudar se a limpeza apagar algo de que você precisava.

Copie os arquivos do site e o banco de dados. Para o banco, o guia Backup MySQL com mysqldump: como fazer e restaurar mostra o passo a passo. Cuidado nosso: não restaure essa cópia sem antes limpar.

Quer um servidor seu para refazer o site do zero? O Plano Bronze da VPS sai a partir de R$ 17,00/mês; confira na loja o que cada plano inclui. Ver planos de VPS

Passo 6: encontre e remova o que o invasor deixou

Reinstale a mesma versão do WordPress que o site usa. Não use o botão de reinstalar do painel: a documentação explica que ele apenas sobrescreve arquivos, e uma invasão cria arquivos novos que ficariam no lugar. A troca é feita por SFTP, pasta por pasta.

Depois confira o resto, nesta ordem:

• wp-content: aqui ficam temas e plugins. A documentação pede mais cuidado aqui. Cuidado nosso: reinstale temas e plugins a partir de fontes oficiais.
• .htaccess: a documentação o cita como um dos arquivos mais alterados em invasões. Abra o arquivo e procure regras que você não colocou.
• Arquivos do tema: olhe index.php, header.php, footer.php e functions.php em busca de código que você não reconhece.

Em uma VPS, o comando find lista os arquivos PHP alterados nos últimos 7 dias dentro da pasta do site. Ajuste o caminho ao do seu site:

find /var/www/seusite -name "*.php" -mtime -7

Arquivos que você não alterou e que aparecem na lista merecem uma olhada. Atualizações de plugins também mudam arquivos, então compare a data com o que você fez.

Passo 7: atualize e troque as senhas de novo

Com o site limpo, atualize o WordPress para a versão mais recente. A documentação diz que versões antigas são mais visadas. O guia Como atualizar o WordPress com segurança: passo a passo detalha como atualizar o WordPress. Atualize também os temas e os plugins que ficaram.

Depois, troque as senhas outra vez. Os acessos antigos podem ter sido vistos durante a invasão. Considere também trocar o usuário e a senha do banco de dados e atualizar o wp-config.php com os novos dados.

E se você perdeu o acesso de administrador?

A documentação do WordPress indica três caminhos:

• redefinir a senha pela tela de login;
• alterar a senha direto no banco de dados, pelo phpMyAdmin ou pelo Adminer, na tabela wp_users;
• trocar o e-mail do usuário no banco e usar o link "Esqueceu a senha?".

Antes de mexer no banco, faça uma cópia dele.

Depois da limpeza: entenda e proteja

O passo seguinte da documentação é entender por onde o invasor entrou. Sem isso, o problema pode voltar. Olhe o histórico de plugins e temas desatualizados, usuários novos e horários de acesso que você anotou no passo 1. O último passo é endurecer o site, ou seja, reduzir as portas de entrada.

Se o seu site está em uma VPS, há duas medidas para o acesso ao servidor. Entrar por chave em vez de senha, como mostra o guia Como criar chave SSH e entrar na VPS sem senha. E bloquear quem erra a senha várias vezes, como mostra o guia Fail2ban na VPS: como instalar e proteger o SSH. Elas tratam do acesso SSH ao servidor, e não do WordPress em si.

Precisa de um endereço novo para recomeçar? Registre seu domínio na Eleven Host. Registrar domínio

Perguntas frequentes

Como saber se meu WordPress foi hackeado?

Os sinais da documentação são: site na lista negra de um buscador, site desativado pela hospedagem, aviso de malware, antivírus acusando o endereço, usuários novos que você não criou e conteúdo estranho à vista.

Posso usar o botão de reinstalar do painel?

A documentação do WordPress diz que não resolve: ele só sobrescreve arquivos, e uma invasão cria arquivos novos que continuam no servidor. Troque as pastas /wp-admin e /wp-includes por SFTP.

Preciso trocar as chaves do wp-config.php?

Sim, é a forma que a documentação indica para derrubar quem está logado. Gere linhas novas no gerador oficial de chaves do WordPress e cole no lugar das antigas.

Perdi o acesso de administrador. O que faço?

Redefina a senha pela tela de login. Se não funcionar, altere a senha na tabela wp_users pelo phpMyAdmin ou pelo Adminer, ou troque o e-mail do usuário no banco e use "Esqueceu a senha?".

Atualizar o WordPress resolve a invasão?

Não resolve sozinho. A atualização vem depois da limpeza, porque versões antigas são mais visadas, mas arquivos deixados pelo invasor continuam lá até você removê-los.