WordPress reindirizza a siti strani: come trovare la causa e risolvere il problema

Se WordPress reindirizza a siti strani, come casinò online, pubblicità, pagine per adulti, falsi antivirus o domini che non hanno nulla a che vedere con il tuo sito, la prima ipotesi da verificare è una possibile compromissione dell’installazione.

Il redirect può essere generato da malware inserito nei file o nel database, ma non è l’unica possibilità. Plugin configurati male, script esterni, regole del server o persino un problema limitato al browser possono produrre comportamenti simili.

Per questo motivo, prima di cancellare file o reinstallare WordPress, è fondamentale capire quando si verifica il reindirizzamento, quali utenti coinvolge e da dove viene generato.

Perché WordPress reindirizza a siti strani?

Quando un sito WordPress manda improvvisamente i visitatori verso domini sconosciuti, una delle cause più frequenti da verificare è la presenza di codice malevolo.

Il codice può essere nascosto nei file del sito, nel database, in un plugin, nel tema o nelle configurazioni del server e può essere programmato per attivarsi soltanto in determinate condizioni.

Un redirect sospetto può portare verso:

• casinò o siti di scommesse;
• pagine per adulti;
• siti di phishing;
• falsi antivirus;
• download di software;
• pubblicità aggressive;
• domini spam;
• pagine completamente estranee al sito originale.

Google considera i redirect indesiderati uno dei possibili comportamenti associati a un sito compromesso.

Questo non significa, però, che qualsiasi reindirizzamento anomalo sia automaticamente malware. Prima bisogna distinguere una compromissione reale da una configurazione errata.

Come capire se il problema è davvero nel sito WordPress

Prima di intervenire è utile provare a riprodurre il redirect in condizioni differenti.

Fai alcuni test:

1. apri il sito senza essere collegato come amministratore;
2. utilizza una finestra di navigazione anonima;
3. prova sia da computer sia da smartphone;
4. apri il sito partendo da un risultato Google;
5. digita direttamente l’indirizzo del sito nel browser;
6. controlla homepage e alcune pagine interne;
7. se possibile, prova da un altro dispositivo o da un’altra connessione.

Questi test aiutano a capire se il problema riguarda effettivamente WordPress oppure soltanto una determinata sessione di navigazione.

Una prima interpretazione può essere questa:

Questa distinzione è importante perché cercare malware nei file non serve se il problema è, ad esempio, causato da un’estensione installata soltanto nel tuo browser.

Quali segnali fanno pensare a un sito WordPress compromesso?

Un singolo redirect non permette di stabilire con certezza che il sito sia stato hackerato.

Esistono però alcuni segnali che rendono questa ipotesi molto più concreta.

Tra quelli più comuni:

• redirect verso casinò, phishing o domini sconosciuti;
• nuovi utenti amministratori che non riconosci;
• plugin o file mai installati volontariamente;
• pagine spam comparse nei risultati Google;
• modifiche recenti a file che non hai toccato;
• avvisi di sicurezza in Google Search Console;
• redirect che compaiono soltanto per determinati visitatori;
• malware che ritorna poco dopo essere stato apparentemente rimosso.

Se più segnali compaiono contemporaneamente, è opportuno trattare il sito come potenzialmente compromesso fino a quando non viene individuata la causa.

Cosa fare subito se il redirect è ancora attivo

La priorità non è cancellare il primo file sospetto che trovi.

Prima di modificare il sito, crea una copia dello stato attuale comprendendo almeno:

• file WordPress;
• database;
• eventuali log disponibili sul server.

Questa copia non deve essere considerata automaticamente un backup pulito. Se il sito è già compromesso, anche il backup potrebbe contenere il malware.

Serve però per poter confrontare file e configurazioni oppure recuperare informazioni nel caso in cui durante la bonifica venga eliminato qualcosa di necessario.

Se il sito gestisce ordini, pagamenti, account utente o dati dei clienti e il redirect è ancora attivo, valuta inoltre se limitarne temporaneamente l’accesso pubblico fino alla verifica.

Una corretta manutenzione del sito WordPress dovrebbe prevedere proprio backup regolari, aggiornamenti e controlli che permettano di intervenire più velocemente in situazioni di questo tipo.

Dove può trovarsi il codice che provoca il redirect

Non esiste un unico “file del virus WordPress”.

Il codice responsabile può trovarsi in parti molto diverse dell’installazione.

File .htaccess e configurazioni del server

Sui server Apache, il file .htaccess contiene anche regole utilizzate per modificare e reindirizzare gli URL.

È quindi utile verificare la presenza di:

• domini esterni sconosciuti;
• regole Redirect mai configurate;
• RewriteRule sospette;
• condizioni relative al dispositivo utilizzato;
• controlli sul referrer;
• blocchi di codice comparsi recentemente.

Non cancellare però l’intero file senza sapere cosa contiene: al suo interno possono esserci anche regole perfettamente legittime relative a permalink, cache, HTTPS o sicurezza.

Core di WordPress, plugin e tema

Il malware può modificare file già esistenti oppure aggiungerne di nuovi.

Le aree che normalmente meritano attenzione comprendono:

• wp-config.php;
• index.php;
• file PHP del tema;
• plugin installati;
• wp-content/uploads;
• directory mu-plugins;
• file modificati recentemente senza un motivo apparente.

Se utilizzi WP-CLI, uno dei controlli utili è:

wp core verify-checksums

Il comando confronta i file del core WordPress con i checksum ufficiali. La documentazione completa è disponibile nella guida ufficiale WP-CLI.

Un risultato positivo non dimostra però che l’intero sito sia pulito: un malware può trovarsi in plugin, temi, upload o database senza modificare i file originali del core.

Database WordPress

Concentrarsi soltanto sui file è uno degli errori più frequenti durante una diagnosi.

Il codice che provoca il redirect può essere stato salvato nel database, ad esempio sotto forma di:

• JavaScript;
• iframe;
• URL esterni;
• impostazioni modificate;
• contenuti inseriti nelle pagine;
• valori utilizzati da plugin o page builder.

Tra le tabelle che possono richiedere un controllo ci sono wp_options, wp_posts e wp_postmeta, oltre alle tabelle create da plugin e temi.

Questo non significa che qualsiasi stringa complessa o codice presente nel database sia dannoso. WordPress e molti plugin memorizzano normalmente dati serializzati e configurazioni difficili da interpretare a prima vista.

Se non hai familiarità con phpMyAdmin, query SQL e struttura del database WordPress, evita quindi cancellazioni casuali.

Account amministratore e meccanismi di persistenza

Controlla anche l’elenco degli utenti WordPress.

Un account amministratore che non riconosci può essere uno degli indicatori di un accesso non autorizzato.

La verifica non dovrebbe inoltre limitarsi al codice che genera materialmente il redirect. Un attaccante potrebbe aver lasciato un sistema che gli consente di rientrare nel sito successivamente.

È qui che diventa importante distinguere tre elementi:

il sintomo visibile, il codice che genera il sintomo e la vulnerabilità che ha consentito la compromissione.

Eliminare soltanto il primo può far sembrare il sito pulito senza aver realmente risolto il problema.

Come rimuovere un redirect malware da WordPress

Una bonifica efficace deve eliminare sia il codice dannoso sia la causa che ha permesso l’infezione.

1. Cerca la possibile origine della compromissione

Controlla soprattutto:

• plugin non aggiornati;
• plugin abbandonati;
• temi provenienti da fonti non ufficiali;
• account amministratori inutilizzati;
• credenziali potenzialmente compromesse;
• componenti installati recentemente.

Se il punto di ingresso rimane attivo, il sito potrebbe essere nuovamente compromesso anche dopo una pulizia apparentemente riuscita.

2. Ripristina i file alterati da fonti affidabili

Quando un file del core, di un plugin o di un tema risulta modificato, spesso è più sicuro sostituirlo con una copia originale della stessa versione invece di tentare di eliminare manualmente qualche riga sospetta.

Evita invece di sostituire indiscriminatamente file personalizzati senza aver prima verificato eventuali modifiche legittime.

3. Analizza il database

Verifica eventuali URL estranei, script o impostazioni anomale.

È una fase delicata: una modifica errata al database può compromettere il funzionamento del sito indipendentemente dal malware.

4. Verifica che non siano rimaste backdoor

Se il redirect sparisce ma esiste ancora un accesso nascosto, la bonifica non è realmente conclusa.

Per questo bisogna controllare l’installazione nel suo complesso e non soltanto il file che provoca il reindirizzamento.

5. Aggiorna i componenti utilizzati

Dopo la bonifica:

• aggiorna WordPress;
• aggiorna plugin e tema;
• elimina i componenti inutilizzati;
• rimuovi software proveniente da fonti non affidabili.

Le indicazioni ufficiali sul rafforzamento della sicurezza di WordPress raccomandano proprio aggiornamenti costanti, protezione degli accessi, backup e corretta configurazione dell’ambiente.

6. Cambia le credenziali coinvolte

A seconda della gravità del problema, può essere opportuno aggiornare:

• password degli amministratori WordPress;
• credenziali del pannello hosting;
• FTP o SFTP;
• database;
• accessi collegati alla gestione del sito.

Controlla inoltre nuovamente che non siano presenti account amministrativi sconosciuti.

7. Ripeti tutti i test

Dopo la pulizia prova nuovamente il sito:

• da mobile;
• da desktop;
• in navigazione anonima;
• da Google;
• digitando direttamente il dominio;
• da più pagine.

Il fatto che il redirect sia scomparso dal tuo computer non significa necessariamente che sia stato eliminato per tutti gli utenti.

Perché WordPress reindirizza solo da Google?

Un sito compromesso può comportarsi normalmente quando digiti direttamente il suo indirizzo ma aprire un altro dominio quando arrivi dai risultati di ricerca.

Questo può succedere quando il codice controlla il referrer, cioè l’informazione che indica da dove proviene il visitatore.

Il comportamento rende l’infezione più difficile da individuare: il proprietario del sito, entrando direttamente nell’area amministrativa o digitando l’URL, potrebbe non accorgersi di nulla.

Google documenta la possibilità che i siti compromessi mostrino contenuti o redirect differenti a seconda della provenienza della visita.

Per questo, durante una diagnosi, è importante aprire il sito anche partendo realmente da un risultato Google.

Perché il redirect compare solo da smartphone?

Il principio è simile.

Uno script può controllare lo user agent o altre caratteristiche della visita e attivare il redirect soltanto per alcuni dispositivi.

In pratica:

• dal computer del proprietario il sito funziona;
• dallo smartphone di un cliente compare il redirect;
• lo scanner automatico potrebbe non riprodurre esattamente quella condizione.

È quindi sempre opportuno testare il sito da più dispositivi prima di considerare conclusa la bonifica.

Wordfence o uno scanner non trovano malware: il sito è sicuro?

Non necessariamente.

Gli scanner di sicurezza sono molto utili per identificare file modificati, firme note e comportamenti sospetti, ma non possono rappresentare l’unico criterio utilizzato per dichiarare un sito sicuro.

Il redirect potrebbe essere generato:

• dal database;
• da uno script esterno;
• da un file non riconosciuto dallo scanner;
• soltanto in determinate condizioni;
• da configurazioni che non vengono classificate automaticamente come malware.

Una scansione senza risultati deve quindi essere interpretata come un elemento della diagnosi, non come una prova definitiva dell’assenza di compromissione.

Cosa controllare su Google dopo aver eliminato il malware

La bonifica tecnica del sito non conclude necessariamente il problema.

Un attacco può aver generato pagine spam, modificato contenuti oppure causato segnalazioni di sicurezza nei risultati di ricerca.

Accedi quindi al report Problemi di sicurezza di Google Search Console e controlla se Google ha rilevato:

• pagine compromesse;
• malware;
• contenuti ingannevoli;
• download dannosi;
• altre problematiche di sicurezza.

Dopo aver risolto realmente l’incidente, Search Console permette eventualmente di richiedere una nuova verifica.

Puoi anche effettuare una ricerca:

site:tuodominio.it

e controllare se Google mostra pagine, title o argomenti che non riconosci.

Se durante la compromissione sono stati creati numerosi URL spam, la scomparsa del redirect non comporta automaticamente la loro immediata eliminazione dall’indice.

Errori da evitare durante la pulizia del sito

Quando un sito WordPress viene compromesso, agire velocemente è importante. Agire casualmente, invece, può creare ulteriori problemi.

Evita soprattutto di:

• cancellare file PHP soltanto perché sembrano strani;
• considerare risolto il problema appena scompare il redirect;
• affidarti esclusivamente a uno scanner automatico;
• reinstallare soltanto il core e presumere che il malware sia sparito;
• ripristinare un backup senza sapere se fosse già infetto;
• ignorare database e account amministratori;
• mantenere attivo il plugin vulnerabile che potrebbe aver causato l’attacco.

L’obiettivo non deve essere semplicemente far sparire il redirect, ma riportare l’installazione in una condizione affidabile.

Come evitare che il redirect ritorni

Una volta risolto il problema, è utile migliorare la gestione ordinaria del sito.

Le misure più importanti sono semplici:

• mantieni WordPress aggiornato;
• aggiorna regolarmente plugin e tema;
• elimina plugin e temi inutilizzati;
• installa componenti soltanto da fonti affidabili;
• utilizza password robuste e uniche;
• limita il numero di account amministratore;
• conserva backup esterni al server principale;
• verifica periodicamente utenti e componenti installati.

La sicurezza di WordPress non dipende da un singolo plugin. È il risultato di aggiornamenti, backup, controllo degli accessi e monitoraggio costante.

Per questo la gestione continuativa di un sito WordPress dovrebbe comprendere anche attività preventive e non soltanto interventi quando il sito smette di funzionare.

Quando conviene chiedere assistenza

Puoi effettuare alcuni controlli autonomamente se conosci WordPress, hosting, FTP e database.

È invece prudente richiedere un intervento tecnico quando:

• il redirect ritorna dopo la pulizia;
• non riesci a individuare l’origine;
• non sai distinguere un file legittimo da uno compromesso;
• sono presenti account amministratore sconosciuti;
• il sito è un e-commerce;
• vengono trattati dati dei clienti;
• Google segnala problemi di sicurezza;
• non disponi di un backup sicuramente pulito.

In queste situazioni non è sufficiente rimuovere il codice che produce il redirect. Serve verificare cosa è stato compromesso, come è avvenuto l’accesso e se sono rimasti altri punti vulnerabili.

Se il tuo sito continua ad aprire domini sconosciuti o vuoi verificare che la bonifica sia stata completata correttamente, puoi approfondire il supporto di un consulente WordPress per una verifica tecnica dell’installazione.

Domande frequenti

WordPress reindirizza solo sul mio computer: significa che il sito è infetto?

Non necessariamente. Se il problema compare esclusivamente su un singolo dispositivo, controlla anche browser, cache ed estensioni installate. Se invece il redirect viene riprodotto da più dispositivi o da altri utenti, aumenta la probabilità che il problema sia lato sito.

Posso ripristinare direttamente un vecchio backup?

Sì, ma soltanto se hai ragionevoli motivi per considerarlo precedente alla compromissione. Ripristinare un backup già infetto può riportare immediatamente il problema online. Dopo il ripristino bisogna inoltre correggere la vulnerabilità che aveva consentito l’accesso.

È grave se il redirect compare solo ogni tanto?

Sì, va comunque verificato. Alcuni malware limitano volontariamente il numero di redirect o li mostrano soltanto a determinati utenti per evitare di essere individuati facilmente.

Reinstallare WordPress elimina il malware?

Non sempre. Reinstallare il core può ripristinare i file originali di WordPress, ma non elimina necessariamente malware presente nel database, nei plugin, nel tema, negli upload o nelle configurazioni del server.

Devo cambiare le password dopo una compromissione?

È generalmente opportuno modificare le credenziali che potrebbero essere state esposte, soprattutto quelle degli amministratori WordPress, dell’hosting e degli accessi FTP/SFTP. Prima bisogna però assicurarsi che l’ambiente sia stato realmente bonificato.