WordPress 恶意插件怎么清除？恢复指南

先阻断可疑插件运行，再保留证据、清理后门、轮换凭据，最后验证网站恢复。如果只是下载了 ZIP、没有运行或安装，一般不代表 WordPress 网站已受到入侵。

先判断你处于哪种情况

第一步：隔离并保留证据

通过可信设备和主机管理通道暂停可疑插件的执行；如网站存在明显异常，可临时限制后台访问。在删除前保存可疑 ZIP、文件清单、访问日志和数据库/网站快照，记录首次安装与发现异常的时间。

如果怀疑服务器本身已被控制，不要只依赖可能被篡改的 WordPress 后台，优先通过可信主机面板或联系服务商处理。

第二步：排查管理员、文件与隐藏入口

• 账户：检查陌生管理员、角色提升、邮箱修改、异常密码重置。
• 代码：核对插件目录、mu-plugins、主题、wp-config.php，以及上传目录中的异常 PHP。
• 定时任务：检查 WP-Cron、服务器 cron 和异常自动加载代码。
• 网络：结合日志排查不明外联域名；没有记录不代表一定没有发生。

具备 WP-CLI 环境的站长，可在正确的网站目录中运行这些只读检查：

wp user list --fields=ID,user_login,user_email,roles
wp plugin list --fields=name,status,version
wp core verify-checksums

wp core verify-checksums 校验的是 WordPress 核心，不会替你检查所有收费插件。如果是多站点，还要核对网络启用插件与各子站管理员权限。

第三步：彻底清理，而不是仅删 ZIP

隔离可疑插件后，对照可信来源或干净备份检查网站文件，移除恶意加载入口、额外管理员和非授权定时任务。必要时重新部署受影响的 WordPress 核心、主题与插件。不要盲目删除整个 wp-content，以免损坏上传文件、会员数据和电商业务。

如使用历史备份恢复，还应核对事件期间产生的订单、文章与账户变更，并防止危险插件再次被自动同步回来。

第四步：更新密码和密钥

从可信设备更改管理员及其他受影响的高权限账号密码，注销旧登录会话。根据影响范围检查主机面板、SFTP/SSH、数据库、邮件和 API 密钥；必要时更新 WordPress 认证密钥与 salts，使已有登录 Cookie 失效。

顺序很重要：如果恶意代码仍在运行，刚修改的新密码也可能再次被捕获。应先隔离和清理，再完成凭据轮换。

第五步：确认恢复成功

逐一检查管理员清单、关键文件、异常请求，以及登录、发信、支付、订单、会员和定时任务。最后创建可实际恢复的干净备份，并持续观察一段时间。发现持续篡改或未知管理员重新出现，应请专业安全人员协助。

参考：WordPress 官方被入侵站点处置指南。预防同类问题，请阅读GPL 插件7步安全自查；本次四个恶意 ZIP 的实测证据见下载站风险调查。