Come ripulire WordPress dopo un’infezione malware (senza perdere il sito)

Eliminare virus, script dannosi e codice infetto dal tuo sito WordPress

Infezione malware WordPress: ti sei accorto che il tuo sito è improvvisamente lento, mostra pagine strane o reindirizza verso siti sospetti? Potrebbe trattarsi di un’infezione malware. Una situazione che spaventa — e a ragione — perché se non affrontata subito può compromettere sicurezza, SEO e fiducia dei visitatori.
In questa guida ti spiegheremo come riconoscere un’infezione, come rimuoverla in sicurezza e come prevenire nuovi attacchi, senza rischiare di perdere dati o contenuti.

Infezione malware WordPress: Cos’è e come si risolve

Quando parliamo di malware su WordPress, non ci riferiamo solo ai classici virus, ma a qualsiasi codice dannoso installato nel sito.
Può trattarsi di script che inviano spam, che creano accessi nascosti, o che manipolano i file del tema e dei plugin per rubare informazioni o diffondere altri malware.
Il problema nasce quasi sempre da plugin non aggiornati, temi scaricati da fonti non ufficiali o hosting poco protetti.

Segnali che il tuo sito è stato infettato

Alcuni indizi sono facili da notare, altri meno. Ecco i principali sintomi da monitorare:

• Il sito reindirizza verso pagine sconosciute o contenuti pubblicitari.

• Google segnala “Questo sito potrebbe essere compromesso”.

• Ricevi segnalazioni di spam o phishing provenienti dal tuo dominio.

• Noti file strani o modificati all’interno di /wp-content/ o /wp-includes/.

• L’hosting ti invia un’email di sospensione per contenuti malevoli.

Se ti ritrovi in una di queste situazioni, non agire di fretta: serve un piano preciso.

1. Metti subito il sito in modalità manutenzione

Prima di fare qualsiasi cosa, limita l’accesso al pubblico.
Puoi usare un plugin di manutenzione o rinominare temporaneamente la cartella del tema attivo, in modo da bloccare l’esecuzione del codice infetto.
Questo ti permetterà di lavorare sul sito senza esporre i visitatori a ulteriori rischi.

2. Esegui un backup immediato

Sì, anche se il sito è infetto. Un backup completo (file + database) è fondamentale per poter tornare indietro in caso di errore.
Puoi farlo tramite Plesk o plugin di backup come UpdraftPlus o Duplicator.
Nel nostro articolo: Server Clone – Il backup per il disaster recovery spieghiamo perché è importante avere sempre una copia “pulita” del sito, anche nei momenti critici.

3. Analizza i file sospetti

A questo punto devi identificare dove si nasconde il codice malevolo.
Puoi usare scanner come Wordfence, Sucuri SiteCheck o l’antivirus integrato del tuo hosting.
Controlla in particolare:

• File .php aggiunti di recente.

• Codici offuscati (linee di testo lunghe e incomprensibili).

• Modifiche nei file functions.php, wp-config.php o .htaccess.

Se individui porzioni sospette, confrontale con una versione pulita del tema o del core WordPress.

4. Pulisci il sito manualmente o con uno scanner affidabile

La rimozione del malware può essere fatta in due modi:

1. Manuale: eliminando i file infetti, ripristinando quelli originali e aggiornando WordPress, temi e plugin.
2. Automatica: utilizzando scanner premium come MalCare o Sucuri Security.

Dopo la pulizia, cambia subito tutte le password di accesso:

• Admin WordPress

• Database MySQL

• FTP e pannello di controllo

5. Ripristina il sito e testalo

Una volta ripulito tutto, ripristina il tema attivo e verifica che:

• Non ci siano redirect anomali.

• Le pagine principali siano accessibili.

• I plugin funzionino correttamente.

In questa fase puoi anche fare un test delle prestazioni: se noti rallentamenti anomali, potrebbe esserci ancora qualche script residuo. Ti spiego come migliorare le performance nel nostro articolo Perché il tuo sito WordPress è lento (e come risolverlo con un approccio AI-First).

6. Richiedi la rimozione dell’avviso su Google

Se Google aveva segnalato il tuo sito come infetto, puoi chiedere una revisione di sicurezza da Search Console.
Vai su Sicurezza e azioni manuali → Problemi di sicurezza, risolvi tutto ciò che viene segnalato e invia la richiesta di revisione.
Dopo qualche giorno, Google rimuoverà l’avviso e il sito tornerà visibile nei risultati.

7. Prevenire è meglio che curare

Ripulire un sito infetto richiede tempo, ma prevenirlo è molto più semplice.
Ecco alcune buone pratiche:

• Aggiorna regolarmente WordPress, plugin e temi.

• Evita temi o plugin “nulled” (versioni pirata).

• Usa un hosting con protezioni avanzate e backup automatici.

• Installa un firewall per bloccare attacchi comuni.

• Attiva l’autenticazione a due fattori per gli utenti amministratori.

Vuoi approfondire come rendere il tuo sito più sicuro e stabile? Leggi anche Hosting ottimizzato per WordPress: velocità, sicurezza e stabilità.

Infezione malware WordPress: Con attenzione e metodo si risolve

Un’infezione malware su WordPress non è la fine del mondo, ma va gestita con metodo e sangue freddo.
Il segreto è non improvvisare, seguire una procedura chiara e agire con tempestività.
Ricorda: un sito sicuro non è quello che non viene mai attaccato, ma quello che è preparato a reagire.