[Wordpress] Sito web con codice malevolo

[felino]

Buongiorno a tutti,
il mio sito web realizzato con Wordpress e Woocommerce (con relativi plugins) è spesso soggetto ad injection di codice malevolo.

Per fortuna non è stato bloccato da Google, ma:
- vengono visualizzato popup con contenuto per adulti
- vengono indicizzati URL non reali

Ho trovato file .php all'interno della cartella wp-includes e file .js nativi di Wordpress modificati.

Ho ripristinato il core di Wordpress, ma qualche mese dopo il problema si è ripresentato.

Sto già provvedendo a realizzare una versione nuova del sito, ma nell'attesa, come posso tamponare il problema?

Grazie.

 

[glm1986ITALY]

Quando capitano queste situazioni nella buona parte dei casi sono causati da qualche tema o plugin non aggiornati.
Hai verificato? Quando hai già avuto il problema avevi bonificato correttamente tutto il sito? cambiate TUTTE le password?

 

[felino]

Non è tutto aggiornato alle ultime release per via di problemi di compatibilità tra i plugin.

La versione di Wordpress in corso è la 4.9.4, mentre tutti i plugin sono aggiornati ad 1 mesetto fa, ma già il problema era presente, quindi mi viene da pensare che l'unico problema possa essere il theme oltretutto gratuito.

Può essere utile il link del sito?

 

[glm1986ITALY]

Si certamente, da come dici il problema può essere proprio tema e plugin.
Inoltre anche WP non è aggiornato

 

[felino]

Infatti da documentazione risulta:
WordPress <= 4.9.4 - Application Denial of Service (DoS) (unpatched) fixed in 4.9.5

WooCommerce <= 3.4.4 - Potential Object Injection fixed in 3.4.5

Vado ad aggiornare subito!

 

[glm1986ITALY]

Di WordPress siamo alla 5.31 (aggiornato il php?)
Woocommerce: 3.8.1

Tieni presente che, da quanto capito, hai un e-commerce e a livello di normativa (GDPR) saresti tenuto entro 72 ore dalla violazione del sistema informativo a notificare il tutto al Garante della privacy,

 

[felino]

Si, PHP aggiornato!

Tieni presente che, da quanto capito, hai un e-commerce e a livello di normativa (GDPR) saresti tenuto entro 72 ore dalla violazione del sistema informativo a notificare il tutto al Garante della privacy,

Cioè?

 

[glm1986ITALY]

Leggi

Data breach nel GDPR: cos'è e come fare segnalazione e prevenzione | Agenda Digitale

Cosa si intende per data breach ex articoli 33 e 34 del regolamento Gdpr. Come fare la segnalazione. Come prevenire il data breach, quali modelli di sicurezza sono più efficaci. E le casistiche principali

www.agendadigitale.eu

Ovviamente spero per te che tu sia già a norma e ti segua qualcuno esperto di GDPR