L'antivirus ha messo il file in quarantena, il sito è pulito?

No. La quarantena neutralizza quel file, non chiude la vulnerabilità che ha permesso di caricarlo e non trova gli altri artefatti che l'antivirus non riconosce. Nella misura di WPsec.it dell'agosto 2026, uno scanner esterno convenzionale non ha emesso nessun verdetto di malware su 88 siti compromessi con certezza: l'assenza di allarmi non è una prova di pulizia.

Il mio hosting minaccia di sospendere il sito. Quanto tempo ho?

Dipende dal provider e dalla gravità. In generale conviene rispondere subito dichiarando che l'intervento è in corso e chiedendo l'elenco completo dei rilevamenti: un provider che vede attività concreta di solito concede tempo, mentre il silenzio accelera la sospensione.

Posso semplicemente cancellare il file segnalato?

Puoi, ma quasi mai basta. Prima conviene copiare il file e annotarne la data: servono a capire da dove è entrato. Cancellare senza chiudere il vettore porta alla ricomparsa, spesso nel giro di ore.

CriticoFamiglia antivirus

php.bkdr.fakeplugin.wp: cosa ha trovato il tuo hosting

php.bkdr.fakeplugin.wp è il nome che l'antivirus lato server assegna a una backdoor camuffata da plugin di WordPress: bkdr sta per backdoor, fakeplugin descrive il camuffamento. Nel corpus di misura di WPsec.it raccolto nell'agosto 2026 su 22 server e 5.127 domini, questa è una delle famiglie più frequenti, insieme a webshell e dropper.

Famiglia: Backdoor mascherata da plugin · Anche noto come: fakeplugin, fakeadmin · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.bkdr.fakeplugin.wp
php.bkdr.fakeadmin.wp

Dove si trova

In wp-content/plugins/, dentro una cartella dal nome plausibile o casuale
In wp-content/mu-plugins/, dove WordPress carica il codice senza mostrarlo fra i plugin

Cosa fa

Dà all'attaccante un canale di accesso al sito che non passa dal login e non dipende dalle password.
Si presenta come un plugin, quindi resiste all'ispezione visiva della dashboard e agli aggiornamenti del core.
Serve a ricostruire l'infezione dopo una pulizia parziale: finché resta, il sito viene reinfettato.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Chiedi all'hosting il percorso completo del file rilevato

Nel pannello, sezione antivirus o Imunify360, apri il rilevamento e copia il percorso completo del file

Elenca i plugin e confronta con le cartelle sul disco

wp plugin list --fields=name,status,version && ls wp-content/plugins/

Cerca i file PHP comparsi nella stessa finestra temporale

find wp-content -name '*.php' -newermt '-45 days' -printf '%T+ %p\n' | sort -r | head -40

Cosa non basta fare

Lasciare che l'antivirus metta il file in quarantena e considerare chiuso il caso. Il file viene neutralizzato, la vulnerabilità che lo ha fatto entrare resta aperta.
Cambiare le password. Una backdoor di questo tipo non le usa.
Aggiornare i plugin senza cercare gli altri file: l'aggiornamento chiude la porta, non rimuove chi è già entrato.

Cosa fare

Chiedi all'hosting l'elenco completo dei rilevamenti con i percorsi e le date: la data del primo rilevamento delimita la finestra da esaminare.
Cerca gli altri artefatti nella stessa finestra: le backdoor arrivano quasi sempre in gruppo.
Identifica il vettore di ingresso, cioè il plugin o il tema vulnerabile, altrimenti il ciclo si ripete.
Verifica la pulizia con una scansione fatta dopo l'intervento, non prima.