wp_options també pot ser una superfície de persistència: les opcions autoload estan disponibles en moltes peticions i poden contenir JavaScript, URLs remotes, tokens o configuració alterada que un plugin compromès utilitza per injectar contingut.
Conserva el valor i identifica qui el llegeix
Abans d’editar, guarda el nom de l’opció, mida, valor, flag d’autoload i una còpia de la fila. Després busca al codi on es consulta exactament aquest nom. Una opció estranya és una pista; el risc real depèn de com el codi la consumeix.
Dades codificades o serialitzades necessiten context
- Compara la data aproximada de creació o canvi amb l’incident.
- Revisa transients, site options i taules multisite quan sigui aplicable.
- No assumeixis que Base64 o dades serialitzades són malicioses per si soles.
- Identifica la funció que escriu o restaura el valor.
Elimina primer l’escriptor, després el valor
Si esborres l’opció però queda actiu el codi que la recrea, la neteja serà temporal. Corregeix el plugin, loader o tasca programada que l’escriu i només després actualitza la dada amb eines compatibles amb WordPress.
Script injectat o configuració de control remot?
Un script injectat acostuma a ser renderitzat per codi compromès; una configuració de control remot pot guardar un endpoint o token que un altre component consulta. Seguir les lectures del nom de l’opció permet separar els dos casos.
Relaciona la base de dades amb altres vies de persistència
Comprova codi carregat des de mu-plugins i tasques cron que poden recrear valors. Una opció no és una incidència aïllada si un d’aquests mecanismes continua actiu.
No facis reemplaçaments SQL amplis sobre dades serialitzades
Un canvi de longitud pot corrompre configuració legítima. Utilitza APIs o eines que entenguin la serialització i treballa sempre amb una còpia de seguretat provada.
Verificació després de la neteja
La incidència queda tancada quan desapareixen tant el valor maliciós com el codi que l’escriu o consumeix, el payload no surt en pàgines, feeds o REST després de buidar caches i l’opció no reapareix després de cron o ús normal.
CRITERI D’INCIDENT WP REPAIR
Com acotar l’error sense endevinar
Els valors grans o sospitosos són pistes, però legítims plugins també emmagatzemen dades seriades i codificades. Traceix a on es llegeix l’opció i com afecta a la sortida.
Exporta els noms d’opcions sospitosos, mides, banderes d’autocàrrega i valors de manera segura.
Cerca a la base de codis les lectures del nom exacte de l’opció.
Compara el temps de creació o modificació amb l’incident.
Inspecciona els transitoris, les opcions de lloc i les taules multisiti quan siguin rellevants.
Què ha de quedar verificat
- L'opció maliciosa i el seu escriptor són eliminats.
- Les pàgines renderitzades, els feeds i les respostes REST romanen netes després de la baixada de la memòria cau.
- No reapareix cap valor autocargat sospitós.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
¿Un valor gran o estranyament codificat en wp_options significa sempre malware?+
No. Legítima plugins emmagatzema rutinàriament grans dades seriades o codificades en opcions, de manera que la mida i la codificació per si soles no són prova de compromís. Cal rastrejar on es llegeix l’opció específica en codi i com afecta la sortida del lloc abans de concloure que és maliciosa.
Puc trobar i substituir el mal valor directament a la base de dades?+
Executa amplis reemplaçaments SQL contra dades PHP serialitzades sense una còpia de seguretat provada és una forma comuna de trencar l’opció, atès que les cadenes seriades porten metadades de longitud que una edició a nivell de text pot malmetre. Useu eines amb WordPress que entenguin la serialització, i mantingui sempre una còpia de seguretat de la base de dades i la fila original abans de canviar qualsevol cosa.
Per què l'opció maliciosa continua tornant després que la borro?+
Si el codi que escriu l’opció continua actiu, l’eliminació de la fila només elimina la còpia actual mentre que cron treballs, sincronització remota o la plugin compromesa recrea en la següent execució. Elimina o esmena el consum de codi maliciós primer, a continuació, elimina el valor i confirma que no torna després d’una descàrrega de memòria cau.
On més a part de wp_options he de comprovar per al mateix tipus de càrrega útil?+
Transitoris, opcions de lloc i, en instal·lacions multisiti, les taules d’opcions a nivell de xarxa poden contenir el mateix tipus de càrrega útil autocargada. Aquests s'han d’inspeccionar juntament amb wp_options ja que comparteixen la mateixa superfície d’atac del codi que s'executa en gairebé totes les sol·licituds.