richardbarros

Se você foi atacado, você pode antes de tudo trocar os <?php the_title(); ?> do tema por <?php echo strip_tags(get_the_title()); ?>. Isso vai fazer com que códigos HTML inseridos nos títulos de posts não cheguem até o usuário final. É uma medida paliativa, mas vai segurar um pouco enquanto você faz um checklist de segurança e limpa o seu WordPress, ok?

Esse tipo de vulnerabilidade acontece principalmente por conta do prefixo da tabela do WordPress, que a maioria dos sites usa a padrão “wp_” e por plugins que possuem falha de segurança. O mais importante é atualizar o sistema (wordpress, theme e plugins), trocar o prefixo da tabela de “wp_” para outro e seguir os procedimentos de segurança de alguns plugins como o Better Wp Security ou Wp Security Scan.

Será necessário remover o código direto no banco, depois de efetuar esses procedimentos, você precisa procurar pelo código nos posts e widgets e remover manualmente um a um ou usando uma busca com sql, como alguns já comentaram por aqui.

Se precisar de um trabalho mais avançado de limpeza ou segurança para WP, entre em contato comigo pelo richard [@] homemmaquina.com.br.

Abração e espero que seja útil.