Un `auto_prepend_file` malicioso puede ejecutar PHP antes de que cargue WordPress, por lo que un escaneo limpio de plugins/tema puede no ver la persistencia. Inspecciona configuración PHP en la jerarquía de directorios y runtime, no solo `wp-config.php`.
Confirma el valor efectivo en runtime
Usa el SAPI/pool afectado para saber qué `auto_prepend_file` aplica realmente. CLI y FPM pueden cargar configuraciones distintas. Registra los ficheros ini cargados por el runtime afectado para que la comparación sea explícita y repetible.
Recorre la cadena de configuración
Inspecciona `.user.ini`, php.ini local, overrides del panel y directorios padre. Registra qué fichero establece el valor efectivo.
Conserva el payload referenciado
Guarda hash y copia del fichero prependido y del artefacto que lo referencia. Quitar primero la directiva puede borrar la pista más clara.
Comprueba el alcance entre webs
Una directiva en directorio padre puede afectar varias instalaciones del mismo hosting. Prueba document roots hermanos antes de aislar el incidente.
Restaura la configuración en su propietario
Recupera la configuración PHP esperada y fichero fiable. No comentes una línea si queda activo otro override o parent config no autorizado.
Recarga y valida el estado efectivo
Ten en cuenta caché de `.user.ini` o reload de FPM y confirma que runtime ya no prepende el fichero y que las peticiones siguen funcionando.
Usa evidencia de archivos recientes para situar el cambio y demuestra que la ruta de reinfección está cerrada.