Come lo disattivo se non compare nella lista?

Da riga di comando con WP-CLI oppure rinominando la directory via SSH o FTP. Prima di farlo conviene copiare il file: serve a capire cosa faceva e da dove è entrato.

CriticoBackdoor

Il plugin che si cancella dall'elenco dei plugin

Tre elementi insieme, il filtro all_plugins, una chiamata a unset e plugin_basename(__FILE__), formano il modo standard con cui un plugin malevolo si rimuove dall'elenco della dashboard restando attivo: la pagina Plugin non lo mostra, ma il codice viene eseguito a ogni richiesta. È il motivo per cui l'elenco dei plugin in dashboard non è mai una prova che il sito sia pulito.

Famiglia: Plugin auto-occultante · Aggiornato il 30 agosto 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

all_plugins
plugin_basename(__FILE__)
unset($plugins[

Dove si trova

In un plugin con un nome plausibile dentro wp-content/plugins/
In una directory dal nome casuale di 6-9 caratteri, con intestazione Author e Description inventate
In wp-content/mu-plugins/, dove l'occultamento è ancora più efficace

Cosa fa

Si aggancia al filtro che costruisce l'elenco dei plugin e toglie la propria voce prima che la pagina venga disegnata.
Resta attivo a tutti gli effetti: gli hook girano, il codice viene eseguito, gli aggiornamenti non lo toccano.
Impedisce la disattivazione dalla dashboard, perché non c'è una riga su cui cliccare.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Cerca il filtro di occultamento nei plugin

grep -rn --include='*.php' 'all_plugins' wp-content/

Confronta i plugin sul disco con quelli che WordPress dichiara
```
ls wp-content/plugins/ && wp plugin list --field=name
```

Cerca directory di plugin dal nome casuale

find wp-content/plugins -maxdepth 1 -type d -regextype posix-extended -regex '.*/[a-z0-9]{6,9}$' -ls

Cosa non basta fare

Guardare la pagina Plugin della dashboard: è esattamente la vista che questo codice manipola.
Disattivare tutti i plugin dalla dashboard: quello nascosto non è nell'elenco, quindi resta attivo.

Cosa fare

Confronta sempre l'elenco delle directory sul disco con l'elenco mostrato da WordPress: la differenza è il primo indizio.
Apri l'intestazione dei plugin sospetti: le voci Author, Description e Plugin URI inventate o incoerenti sono un segnale forte.
Verifica i plugin installati dal repository ufficiale con i checksum: quelli non riconosciuti vanno analizzati a mano.

Domande frequenti

Sì, esistono usi legittimi: alcuni strumenti per agenzie nascondono i propri plugin ai clienti. La differenza è il contesto. Un plugin che conosci, che hai installato tu e che è documentato è un caso; una directory dal nome casuale con un'intestazione inventata che si nasconde da sola è un altro.

Trovare la firma è il primo passo, chiudere la via di ingresso è quello che conta

Rimuovere l'artefatto senza chiudere il punto da cui è entrato porta alla reinfezione. La scansione gratuita è il modo più rapido per capire cosa è osservabile dall'esterno del tuo sito.

Questa pagina pubblica firme di rilevamento, non codice sfruttabile. I casi citati sono descritti in forma anonima.