wp-l0gin.php è un file originale di WordPress?

No. WordPress contiene wp-login.php, scritto con la lettera i. Nessuna versione di WordPress, nessun plugin e nessun tema legittimo installano un file chiamato wp-l0gin.php. La sua presenza indica una compromissione.

L'ho cancellato ed è tornato. Perché?

Perché la via di ingresso è ancora aperta. Un file rimosso senza chiudere la vulnerabilità che lo ha generato viene ricreato: può essere un plugin non aggiornato, un secondo file nascosto che lo rigenera, o un accesso FTP compromesso.

Il mio antivirus non lo segnala, allora è pulito?

Non necessariamente. Nella misura condotta da WPsec.it nell'agosto 2026 su 88 siti compromessi con certezza, uno scanner esterno convenzionale non ha emesso nessun verdetto di malware: la scansione dall'esterno vede la superficie pubblica, non i file sul disco.

CriticoWebshell

wp-l0gin.php: il file che imita wp-login.php

wp-l0gin.php non è un file di WordPress: il nome imita wp-login.php sostituendo la lettera i con uno zero, e nei casi trattati da WPsec.it è una webshell che dà all'attaccante accesso ai file del sito senza password. Il core di WordPress non contiene nessun file con quel nome, quindi la sua sola presenza è già una prova di compromissione.

Famiglia: Webshell mascherata da file di WordPress · Anche noto come: wp-l0gin, wp-1ogin.php, wp-log1n.php · Aggiornato il 30 agosto 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

wp-l0gin.php
lock360.php
jp.php
ext.php

Dove si trova

Nella radice del sito, accanto ai file legittimi wp-login.php e wp-config.php
Dentro wp-content/, wp-content/uploads/ o una cartella di plugin
Elencato esplicitamente in un .htaccess che ne consente l'accesso pubblico

Cosa fa

Espone un'interfaccia di gestione file raggiungibile da chiunque conosca l'URL, spesso protetta da una password dell'attaccante.
Permette di caricare, modificare ed eseguire altri file: è il punto da cui l'infezione si ricostruisce dopo ogni pulizia parziale.
Non lascia traccia nella dashboard di WordPress: non è un plugin, non è un utente, non compare in nessuna schermata di amministrazione.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Cerca il file e le sue varianti in tutto il sito

find . -type f \( -name 'wp-l0gin*' -o -name 'lock360.php' -o -name 'jp.php' -o -name 'ext.php' \) -ls

Confronta il core con quello ufficiale: elenca ogni file estraneo
```
wp core verify-checksums
```
Elenca i file PHP modificati negli ultimi 30 giorni
```
find . -name '*.php' -mtime -30 -ls | head -50
```

Cosa non basta fare

Cancellare il file. Se resta la porta di ingresso che lo ha creato, torna: nei casi trattati da WPsec.it la ricomparsa avviene di solito entro ore.
Cambiare la password di amministratore. Una webshell lavora sui file, non passa dal login.
Ripristinare un backup recente. Se il backup è successivo alla compromissione contiene già il file.

Cosa fare

Non cancellare nulla prima di aver fatto una copia integrale di file e database: serve a capire da dove è entrato.
Cerca tutti i file creati o modificati nella stessa finestra temporale del file trovato: le webshell arrivano quasi sempre in gruppo.
Controlla .htaccess in ogni directory: spesso contiene la regola che rende il file raggiungibile.
Chiudi il vettore di ingresso, non solo l'artefatto: plugin o tema vulnerabile, credenziali FTP, altro sito sullo stesso account.