WP-CLI ajuda quan l’escriptori no està disponible, però normalment carrega codi de WordPress. En una instal·lació compromesa, inicialitzar plugins o temes maliciosos pot executar PHP de l’atacant amb els permisos de l’usuari de l’ordre.
Utilitza’l amb accés shell autoritzat, instantànies i un propòsit concret.
Confirma ruta i usuari del sistema
Executa des de l’arrel documental correcta i com a propietari de la web, no com un compte de servidor sense límits. Verifica URL canònica, wp-config.php, base i prefix.
En servidors amb diverses webs, un --path incorrecte pot modificar una altra instal·lació. Registra directori de treball i sortida rellevant a la cronologia. No escriguis credencials directament a l’historial.
Conserva abans de modificar
Captura fitxers i base, i copia registres d’accés, PHP, correu i auditoria. Anota usuaris, plugins, temes i esdeveniments programats abans d’actualitzar o esborrar.
La sortida de WP-CLI pot servir d’evidència, però no bolquis opcions completes, usuaris o comandes en un tiquet. Censura identificadors i dades personals. Comença per ordres de lectura.
Redueix el risc en carregar WordPress
Quan sigui apropiat, utilitza --skip-plugins i --skip-themes per evitar extensions sospitoses. Els mu-plugins poden continuar carregant-se.
wp --skip-plugins --skip-themes core version
wp --skip-plugins --skip-themes user list --fields=ID,user_login,rolesAquestes opcions redueixen l’exposició, però no demostren que l’entorn sigui segur.
Comprova la integritat del nucli
Utilitza les metadades de la versió oficial corresponent:
wp core verify-checksums --include-rootRevisa cada diferència. Fitxers propis a l’arrel, eines del hosting o una versió mal identificada poden generar alertes legítimes. Els checksums no examinen uploads, temes propis, injeccions a la base ni comptes robats.
Inventaria plugins i temes
Llista noms, estat i versions sense activar components. Compara paquets mantinguts amb fonts fiables i comprova si queda codi abandonat.
El suport de checksum varia, sobretot en extensions comercials o pròpies. Substitueix paquets dubtosos des de descàrregues verificades en lloc d’editar només línies visibles. Registra llicència i responsable sense exposar claus.
Revisa usuaris i tasques
Llista administradors, rols, metadades de contrasenyes d’aplicació i cron quan estiguin disponibles. Conserva IDs i hooks desconeguts abans de deshabilitar-los.
No esborris tots els esdeveniments: WooCommerce i les còpies depenen de tasques legítimes. Un hook desconegut requereix analitzar-ne l’origen. Utilitza IDs exactes per a restabliments aprovats i revoca sessions després.
Exporta de manera limitada
Exporta la base amb WP-CLI només si usuari i destinació són fiables. Desa fora del webroot, limita permisos i retira còpies segons el pla de conservació.
Les ordres que avaluen opcions arbitràries, criden callbacks o executen eval poden activar codi compromès. Prefereix lectures estructurades i inspecció offline. No enviïs contingut desconegut a un shell ni a serveis públics.
Controla multilloc i execució remota
En multilloc, especifica la URL prevista i documenta si l’acció afecta tota la xarxa. Evita serveis remots opacs fins a verificar compte, token i auditoria. Revoca credencials antigues de gestió.
Mantén l’historial lliure de secrets i dades de clients.
Evita cerques i substitucions insegures
search-replace serveix per a migracions planificades, no com a netejador genèric. Payloads ofuscats, valors serialitzats i contingut legítim poden quedar danyats.
Exporta, identifica registres exactes i aplica canvis precisos i revisables. No executis mai una substitució àmplia sobre l’única còpia. Mantén les dades infectades fora de producció.
Reconeix quan no has d’utilitzar WP-CLI
No carreguis WordPress si desconeixes la propietat dels fitxers, investigues l’execució PHP o el shell pot estar compromès. Fes anàlisi offline i reconstrucció neta.
Després de recuperar, prova per HTTP login, formularis, checkout, cron i correu; una ordre correcta no demostra el recorregut de l’usuari. Si la sortida canvia sense explicació o diverses webs comparteixen usuari, demana ajuda i comparteix només ordres i resultats censurats.