Ho reinstallato il core e il problema resta. Perché?

Perché la reinstallazione ripristina i file originali ma non cancella quelli aggiunti, e non tocca temi, plugin, database e mu-plugins. Se il codice ostile è anche in una di quelle posizioni, continua a funzionare.

CriticoFamiglia antivirus

php.bkdr.wpcore.mal: un file del core di WordPress modificato

php.bkdr.wpcore.mal segnala codice ostile inserito dentro un file del core di WordPress, tipicamente in wp-includes o wp-admin. È anche il caso più facile da verificare in modo definitivo, perché ogni file del core ha un checksum pubblicato: un solo comando dice quali file non corrispondono all'originale.

Famiglia: Backdoor nel core di WordPress · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.bkdr.wpcore.mal
php.bkdr.wpcore
php.bkdr.wpcore.inj

Dove si trova

In wp-includes/, dove i file sono numerosi e nessuno li guarda mai
In wp-admin/, in file dai nomi che ricordano funzioni legittime
Nella radice, per esempio in coda a wp-load.php o wp-settings.php

Cosa fa

Sfrutta il fatto che i file del core sono considerati affidabili per definizione e non vengono ispezionati.
Viene eseguito su ogni richiesta, perché i file del core sono caricati sempre.
Sopravvive alla disattivazione dei plugin e al cambio di tema, che sono le prime mosse di chi cerca di isolare il problema.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Confronta ogni file del core con la versione ufficiale
```
wp core verify-checksums
```
In alternativa, reinstalla il core sovrascrivendo i file
```
wp core download --force --skip-content
```

Cerca file estranei dentro le directory del core

find wp-includes wp-admin -name '*.php' -newermt '-60 days' -ls

Cosa non basta fare

Aggiornare WordPress dalla dashboard quando sei già all'ultima versione: l'aggiornamento non riscrive i file se la versione coincide.
Disattivare i plugin: il codice sta nel core, non nei plugin.

Cosa fare

Esegui il confronto dei checksum: è una prova, non un indizio, e distingue subito il core modificato dai file aggiunti.
Reinstalla il core forzando la sovrascrittura, che rimette a posto i file modificati ma non rimuove quelli aggiunti.
Elenca i file estranei presenti nelle directory del core: dopo la reinstallazione restano lì.

Domande frequenti

Non sempre. Alcuni hosting inseriscono file propri nelle directory di WordPress, e chi ha personalizzato l'installazione può aver modificato qualcosa in passato. La differenza la fa il contenuto: un file segnalato va aperto e letto, non dedotto. Ma un file del core modificato senza una spiegazione nota va trattato come ostile.

Trovare la firma è il primo passo, chiudere la via di ingresso è quello che conta

Rimuovere l'artefatto senza chiudere il punto da cui è entrato porta alla reinfezione. La scansione gratuita è il modo più rapido per capire cosa è osservabile dall'esterno del tuo sito.

Questa pagina pubblica firme di rilevamento, non codice sfruttabile. I casi citati sono descritti in forma anonima.