Un `auto_prepend_file` maliciós pot executar PHP abans que carregui WordPress, de manera que un escaneig net de connectors/tema pot no veure la persistència. Inspecciona configuració PHP a la jerarquia de directoris i runtime, no només `wp-config.php`.
Confirma el valor efectiu a runtime
Usa el SAPI/pool afectat per saber quin `auto_prepend_file` aplica realment. CLI i FPM poden carregar configuracions diferents. Registra els fitxers ini carregats pel runtime afectat perquè la comparació sigui explícita, reproduïble i verificable.
Recorre la cadena de configuració
Inspecciona `.user.ini`, php.ini local, overrides del panell i directoris pare. Registra quin fitxer estableix el valor efectiu.
Conserva el payload referenciat
Desa hash i còpia del fitxer prependit i de l’artefacte que el referencia. Treure primer la directiva pot esborrar la pista més clara.
Comprova l’abast entre webs
Una directiva en un directori pare pot afectar diverses instal·lacions del mateix allotjament. Prova document roots germans abans d’aïllar l’incident.
Restaura la configuració al seu propietari
Recupera la configuració PHP esperada i el fitxer fiable. No comentis una línia si queda actiu un altre override o parent config no autoritzat.
Recarrega i valida l’estat efectiu
Tingues en compte memòria cau de `.user.ini` o reload de FPM i confirma que runtime ja no prepend el fitxer i que les peticions continuen funcionant.
Usa evidència de fitxers recents per situar el canvi i demostra que la ruta de reinfecció està tancada.