Un checksum del nucli de WordPress que no coincideix indica que un o més fitxers de core són diferents de la release fiable esperada. No explica la causa. Pot ser una actualització incompleta, un canvi manual, corrupció del sistema de fitxers o un compromís; primer cal classificar el canvi.
Confirma la versió exacta de WordPress abans de comparar
Els checksums només tenen sentit contra la release corresponent. Registra versió instal·lada i quins fitxers fallen. Separa fitxers absents, modificats i afegits inesperadament.
Què pot indicar el patró de diferències
- Pocs fitxers després d’una actualització poden apuntar a un desplegament parcial.
- Un core editat manualment pot ser història legítima, però no hauria de quedar al core.
- PHP inesperat o canvis sense propietari conegut necessiten triatge d’incident.
- Si el canvi reapareix després de substituir el fitxer, hi ha un escriptor actiu.
Conserva evidència abans de restaurar core fiable
Guarda hashes, timestamps i còpies dels fitxers sospitosos fora de rutes executables. Compara l’abast amb el triatge de canvis d’integritat.
Restaura core sense sobreescriure el contingut de l’aplicació
- Fes backup i conserva els fitxers sospitosos.
- Substitueix només el core des de la release exacta i fiable.
- No sobreescriguis
wp-contentni configuració en un refresc a cegues. - Corregeix la via d’actualització/desplegament o elimina l’escriptor que causava el canvi.
Un checksum net no demostra per si sol que la incidència s’ha acabat
Un refresc de core pot eliminar temporalment fitxers alterats mentre un plugin, compte o tasca compromesos encara poden tornar-los a escriure.
Verificació
Repeteix la comparació després de trànsit normal, tasques programades i desplegaments. El mateix core fiable s’ha de mantenir estable i no ha de reaparèixer cap fitxer inexplicat.
CRITERI D’INCIDENT WP REPAIR
Com acotar l’error sense endevinar
No totes les advertències són malware, i no tots els fitxers maliciosos estan coberts per números de verificació del nucli. La ruta del fitxer, el temps de modificació i la diferència determinen la resposta.
Registra la versió WordPress, la localització i cada ruta de nucli no aparellada o inesperada.
Preserva les còpies i els hashes abans de sobreescriure fitxers sospitosos.
Compara els fitxers modificats amb el paquet exacte de la versió oficial.
Comprova wp- Content, usuaris, cron i servidor registres perquè la verificació del nucli només cobreix el nucli.
Què ha de quedar verificat
- Les sumes de verificació principals passen per la versió exacta i la localització.
- No s' ha trobat cap fitxer d’execució inexplicable en els directoris nucli o wordable.
- El lloc roman establa i el monitoratge de integritat no mostra recurrència.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Un desajust de checksum sempre vol dir que el lloc està infectat amb malware?+
No. Les actualitzacions interrompudes, els fitxers centrals editats manualment, o els fitxers copiats de la versió WordPress incorrecta o locale poden produir tots els desajustos sense compromís involucrat. La ruta del fitxer, el temps de modificació i una diferència real contra la versió oficial són els que determinen si això és corrupció o quelcom pitjor.
Si les sumes de revisió tornen netes, assegura això que el lloc no té malware?+
No. La verificació del nucli de verificació només cobreix els fitxers del nucli WordPress, per la qual cosa el codi maliciós col·locat en wp-content, càrregues o un altre lloc fora del nucli no es marcarà. Wp-Content, els usuaris, cron, i els registres del servidor neceswebn ser comprovats per separat.
Esteu bé esborrar els fitxers marcats una vegada identificats?+
No immediatament. Els fitxers sospitosos han de tenir els seus hashes, marques de temps, i una còpia conservada abans de l’eliminació, especialment si l’incident podria implicar dades del client o repetir compromís. Eliminar primer pot destruir l’evidència necessària per confirmar el punt d’entrada i prevenir la recurrència.
Com puc dir una actualització interrompuda a part d’una edició manual deliberada a un fitxer de nucli?+
Una actualització interrompuda generalment deixa una barreja de fitxers de nucli antics i nous consistents amb una implementació parcial, mentre que una edició manual mostra un canvi deliberat i aïllat a un fitxer que un desenvolupador va fer directament. Comparar els fitxers modificats amb el paquet de versió oficial exacte per a aquesta versió aclareix quin patró està present.