Una còpia completa pot contenir dades legítimes del negoci juntament amb codi vulnerable, comptes compromesos o persistència. Restaurar-la pot recuperar disponibilitat sense demostrar que s’hagi eliminat la intrusió.
Crea una aplicació neta i importa dades validades per etapes.
Conserva l’incident actual
Captura fitxers, base, logs, usuaris, cron i correu abans de restaurar. Anota la contenció i l’arrel documental originals.
Mantén l’evidència sense execució i fora de l’emmagatzematge públic. No la sobreescriguis ni utilitzis l’únic original com a directori de treball. Protegeix comandes i limita accés.
Tria un punt de dades
Compara hora de la còpia, compromís més antic i activitat recent. Inventaria versions, administradors i indicadors de l’arxiu.
Una còpia antiga pot servir per comparar contingut sense ser segura per arrencar. Registra comandes, usuaris, formularis i uploads absents. «Anterior al símptoma» no equival a neta.
Crea una arrel neta
Instal·la nucli, plugins i temes mantinguts des de fonts verificades. Aplica PHP compatible, privilegi mínim i configuració productiva sense copiar codi desconegut.
Revisa desenvolupament propi des d’un repositori fiable. Retira components abandonats i substitueix-ne la funció. Mantén l’arrel infectada aïllada i de només lectura.
Recrea configuració i secrets
Construeix un wp-config.php nou amb accés MySQL actual i claus d’autenticació noves. Rota SMTP/API, pagaments, còpies, desplegament i webhooks exposats.
No copiïs secrets de l’arxiu compromès. Verifica DNS/CDN/hosting i activa MFA. Documenta responsables, no valors.
Valida la base
Importa MySQL en aïllament i revisa usuaris, usermeta, opcions, cron, snippets, redireccions, widgets, entrades i taules pròpies.
Elimina només registres confirmats mitjançant canvis precisos. Evita reemplaçaments globals en dades serialitzades. Si la integritat és incerta, importa contingut i comandes a un esquema nou amb eines compatibles. Conserva IDs i còpia de files.
Valida uploads
Inventaria mitjans, bloqueja PHP executable i regles de servidor inesperades. Confirma que cada tipus és necessari i no copiïs memòries cau, backups o temporals com a mitjans.
Protegeix fitxers de clients, regenera miniatures i recursos des de fonts fiables. No obris fitxers desconeguts en un equip ordinari.
Revisa configuració externa
Audita DNS/CDN, redireccions, Workers, Tag Manager, propietaris de Search Console, SMTP, pagaments i comptes de còpia o desplegament. El comportament maliciós pot sobreviure fora de WordPress.
Revoca usuaris i tokens desconeguts i compara versions desplegades. No canviïs DNS públic fins que l’entorn net passi les proves. Emet API noves amb privilegi mínim.
Reconcilia dades comercials
Compara comandes, pagaments, estoc, usuaris i formularis posteriors a la còpia. Utilitza el proveïdor de pagaments i registres autoritzats com a referències.
Importa dades recents validades sense sobreescriure seguretat ni duplicar transaccions. Defineix un estat de comanda autoritatiu i documenta excepcions que exigeixin contacte manual.
Prova en aïllament
Verifica login, rols, formularis, checkout sandbox, webhooks, cron, correu, redireccions, idiomes, mòbil i còpies. Inspecciona codi renderitzat i destinacions de xarxa.
Executa cicles cron, escalfament de memòria cau i login administrador. Confirma que no tornen indicadors ni comptes. Mantén accions productives d’analytics i pagaments deshabilitades fins a aprovar.
Prepara un canvi reversible
Documenta arrels, endpoints MySQL, TTL DNS i capes de memòria cau. El rollback ha de tornar a manteniment segur, mai a l’aplicació infectada.
Impedeix que antic i nou acceptin simultàniament checkout o formularis. Reconcilia entrades de la finestra final.
Redueix el TTL amb antelació si hi haurà canvi DNS i congela modificacions administratives durant el tall. Registra l’última operació acceptada a cada sistema per demostrar quines dades pertanyen a la transició.
Reobre monitoritzant
Canvia arrel o DNS només amb criteris i rollback preparats. Monitoritza fitxers, base, usuaris privilegiats, correu i indicadors.
Conserva l’arrel antiga segons la política i després elimina-la amb seguretat. Revisa entrada i fallada de procés. Si cal seleccionar entre uploads, base i comandes recents, demana reconstrucció urgent amb accés gestionat, mai arxius públics.
Comprovació real de tres fitxers i els seus límits
El 24 d’octubre del 2026 a les 23:07 UTC vam comparar les empremtes MD5 de tres fitxers del nucli d’aquesta web editorial amb la resposta de WordPress.org per a la versió 7.1.3, en_US. Tots tres van coincidir:
wp-login.php → coincideix
wp-includes/version.php → coincideix
wp-admin/admin.php → coincideix
Abast → 3 fitxers seleccionats del nucliVam recollir les empremtes amb PHP i les vam contrastar amb la resposta oficial; no vam executar WP-CLI, restaurar una còpia ni investigar un client infectat. Demostra una comprovació de procedència del codi. No verifica altres fitxers del nucli, connectors, temes, base de dades, comptes, persistència ni registres comercials recents.
El comandament oficial de checksums de WP-CLI documenta la verificació amb versió i idioma concrets, abans de carregar WordPress. En un entorn amb aquesta eina, el tècnic pot utilitzar els valors verificats:
wp core verify-checksums --version=VERSIO_VERIFICADA --locale=LOCALE_VERIFICATDesa el resultat amb l’abast real. Demana que el traspàs identifiqui quines dades de la còpia es van triar, com es van conciliar les posteriors, qui va comprovar el control de comptes i qui va autoritzar el canvi. Codi coincident i portada funcionant no resolen aquestes decisions.
Si l’accés continua pendent, consulta la recuperació autoritzada de l’administrador. Per demanar una avaluació de restauració de WordPress hackejat, aporta data de còpia, registres recents que cal conservar, símptoma i restriccions d’accés conegudes. El servei de recuperació de WordPress hackejat ha d’acordar reconstrucció, continuïtat i acceptació com a parts explícites de l’abast.
Abans del pròxim incident, el pla de recuperació de WordPress per al 2027 amb plantilla i simulacre permet acordar responsables, dependències de les còpies i decisions de reobertura sense modificar producció.