Adminer è legale e lo uso per lavorare. Perché l'hosting lo tratta come malware?

Perché la firma non giudica l'intenzione: segnala uno strumento che dà accesso completo al database da un URL pubblico. Su un sito in produzione è una superficie di attacco, chiunque lo abbia messo. La soluzione è usarlo solo quando serve e rimuoverlo subito dopo, oppure usare il pannello del database dell'hosting.

Come capisco se lo ha caricato un attaccante o un collega?

Dalla data di creazione del file e dai log di accesso. Se la data coincide con un intervento tecnico noto e i log mostrano solo il tuo IP, è dimenticanza. Se la data non corrisponde a nulla e i log mostrano accessi da indirizzi sconosciuti, è compromissione, e vanno cercati gli altri artefatti.

AltoFamiglia antivirus

php.admin.tool.db.adminer: Adminer sul sito, e perché l'antivirus lo segnala

php.admin.tool.db.adminer è la firma con cui l'antivirus lato server segnala Adminer, un pannello di gestione del database contenuto in un unico file PHP. Non è codice malevolo: è uno strumento legittimo che, lasciato raggiungibile sul sito, dà a chiunque conosca l'URL e le credenziali del database, che stanno in chiaro in wp-config.php, il controllo completo dei dati. Nel corpus di misura di WPsec.it dell'agosto 2026 compare su 6 domini e 5 server; in un caso su tre il file era stato rinominato con estensione .txt, cioè messo da parte ma non rimosso.

Famiglia: Strumento di amministrazione del database · Anche noto come: adminer, admin.tool.db · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.admin.tool.db.adminer
SMW-SA-22267-php.admin.tool.db.adminer
SMW-BLKH-SA-CLOUDAV-php.admin.tool.db.adminer
adminer.php

Dove si trova

Fuori dalle cartelle di WordPress nell'80% dei casi, spesso nella radice dell'account o in una cartella di lavoro
Con nome predicibile nel 40% dei rilevamenti: adminer.php, adminer-4.8.1.php, db.php
Con estensione .txt nel 30% dei casi: qualcuno lo ha disattivato rinominandolo, e l'antivirus lo riconosce lo stesso

Cosa fa

Espone un'interfaccia completa al database: lettura, modifica, esportazione, creazione di utenti, con le credenziali che WordPress tiene in wp-config.php.
Se lo ha caricato un tecnico e lo ha dimenticato, è una porta aperta in attesa di qualcuno che indovini l'URL.
Se lo ha caricato l'attaccante, è il modo con cui aggiunge un amministratore a WordPress o inietta spam nei contenuti senza toccare i file.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Cerca i pannelli database sull'intero account, con qualunque estensione

find ~ -type f \( -iname '*adminer*' -o -iname 'phpminiadmin*' -o -iname 'phpmyadmin*.php' \) 2>/dev/null -ls

Cerca file che contengono la firma testuale di Adminer

grep -rlI -m1 'Adminer' --include='*.php' --include='*.txt' . 2>/dev/null | head

Elenca gli utenti amministratori di WordPress e la data di creazione

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Cosa non basta fare

Rinominarlo in .txt: resta sul disco, ricompare con un rename e l'antivirus continua a segnalarlo.
Proteggerlo con una password: la porta resta aperta, solo con una serratura in più.
Considerarlo innocuo perché è uno strumento legittimo: sul sito in produzione non ha ragione di esistere.

Cosa fare

Rimuovi il file. Se serve un pannello per il database, usalo dal pannello hosting, che è autenticato e non raggiungibile da URL pubblico.
Verifica se è stato usato: chiedi all'hosting i log di accesso al suo percorso, e controlla utenti amministratori e contenuti recenti di WordPress.
Se non sai chi lo ha caricato, trattalo come indizio di compromissione e cerca gli altri artefatti nella stessa finestra.
Cambia la password del database dopo la rimozione: chi ha usato Adminer la conosce.