Come faccio a distinguere un plugin premium legittimo da un php.bkdr.wpplugin.mal?

Un plugin premium ha una fonte: il sito da cui lo hai acquistato, una licenza e una versione che puoi confrontare. Se non ricordi di averlo installato, se non compare nel repository ufficiale e nessuno in azienda ne conosce l'origine, trattalo come sospetto e confronta i file con la copia originale del fornitore.

Il plugin era disattivato. È comunque un problema?

Sì. Un plugin disattivato non viene caricato da WordPress, ma il suo file PHP resta raggiungibile con una richiesta diretta al percorso. È esattamente il modo in cui una backdoor camuffata da plugin viene usata quando è spenta.

L'hosting mi ha scritto WPPLUGIN1-0 alla fine del nome. Cosa vuol dire?

È l'identificativo della variante della firma e della sua revisione. Serve al fornitore dell'antivirus per distinguere due rilevamenti della stessa famiglia; per te la parte utile è quella centrale, php.bkdr.wpplugin.mal, che descrive la famiglia.

CriticoFamiglia antivirus

php.bkdr.wpplugin.mal: il plugin WordPress che è una backdoor

php.bkdr.wpplugin.mal è il nome che l'antivirus lato server assegna a un plugin WordPress malevolo: un file PHP con l'intestazione di un plugin, un nome di senso compiuto e dentro una backdoor. Nel corpus di misura di WPsec.it dell'agosto 2026 è la firma più diffusa in assoluto: 55 file su 40 siti WordPress distinti e 7 server diversi. Nel 71% dei casi l'antivirus aveva svuotato il file lasciandolo sul disco, quindi il plugin restava visibile nella dashboard e il sito risultava compromesso a tutti gli effetti.

Famiglia: Backdoor con la forma di un plugin WordPress · Anche noto come: wpplugin.mal, WPPLUGIN1 · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.bkdr.wpplugin.mal
SMW-BLKH-SA-CLOUDAV-php.bkdr.wpplugin.mal-WPPLUGIN1-0

Dove si trova

In wp-content/plugins/, in una cartella con un nome plausibile: nel corpus il 95% di questi file ha un nome di parola, non una stringa casuale
Talvolta fuori dall'installazione principale, dentro una copia vecchia del sito o in una sottocartella dimenticata che il web server serve ancora
Sempre con estensione .php: è un plugin a tutti gli effetti, e WordPress lo carica come tale

Cosa fa

Si registra come plugin, quindi viene eseguito a ogni richiesta senza bisogno di un URL segreto.
Apre un canale di comando che non passa dal login: chi lo controlla legge e scrive file con i permessi del sito.
Sopravvive agli aggiornamenti di WordPress e degli altri plugin, perché per WordPress è un componente legittimo.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Confronta i plugin installati con le cartelle presenti sul disco

wp plugin list --fields=name,status,version,update && ls -la wp-content/plugins/

Trova i plugin che non esistono nel repository ufficiale

for d in wp-content/plugins/*/; do s=$(basename "$d"); c=$(curl -s -o /dev/null -w '%{http_code}' "https://api.wordpress.org/plugins/info/1.0/$s.json"); echo "$c $s"; done | sort

Cerca file di plugin da 0 byte: sono quelli svuotati dall'antivirus e mai rimossi
```
find wp-content/plugins/ -name '*.php' -size 0 -ls
```

Cosa non basta fare

Disattivare il plugin dalla dashboard. Il file resta sul disco e può essere richiamato direttamente via URL.
Fidarsi del fatto che l'antivirus lo abbia messo in quarantena: nel corpus il file svuotato restava al suo posto e la cartella continuava a esistere.
Eliminare solo quella cartella: un plugin malevolo arriva quasi sempre insieme a un dropper o a una webshell che lo ricrea.

Cosa fare

Elimina l'intera cartella del plugin, non solo il file segnalato, dopo averne salvato una copia fuori dal sito per l'analisi.
Cerca nella stessa finestra temporale gli altri file PHP comparsi in wp-content e nella radice del sito.
Verifica i plugin premium contro la copia originale che hai acquistato: un nome commerciale non è una garanzia.
Identifica il vettore di ingresso, di solito un altro plugin o tema vulnerabile, altrimenti il finto plugin ricompare.