懷疑 WordPress 核心檔被改？用 WP-CLI 校驗並判讀異常

網站出現可疑檔案時，直接覆蓋或刪除會破壞線索。WP-CLI 可以把 WordPress 核心檔與 WordPress.org 對應版本的校驗值比較；這是一項核心完整性檢查，不能證明整站安全，也不涵蓋所有外掛、佈景、上傳檔案與資料庫。

先確認目標與權限

確認網站實際根目錄、正式或測試環境，以及目前核心版本與安裝語系；以網站檔案擁有者或主機核准的低權限帳號執行。先保留備份與異常發現時間，不要用 root 搭配 –allow-root 當作一般操作。下例路徑僅示意，請換成自己的網站路徑：

wp --path=/home/example/public_html core version
wp --path=/home/example/public_html core verify-checksums

依官方文件，校驗命令從 WordPress.org 取得目前版本的校驗值並在載入 WordPress 前執行。若版本或語系有疑慮，先以後台「更新」等可靠資料核對，再按實際情況指定，例如：

wp --path=/home/example/public_html core verify-checksums --version=6.8.3 --locale=zh_TW

上述版本與語系只是示例，不能直接假定你的站台相同。執行結果的成功訊息代表所檢查的核心檔符合該次比對，並非全站無惡意程式。若顯示檔案不符、缺失或額外檔案，記錄每個路徑與完整訊息；客製化、語系或版本差異也可能造成異常，不能單憑差異認定入侵。

遇到錯誤與後續處理

若下載校驗資料失敗、TLS 驗證錯誤、權限不足或版本不受支援，結果是未完成，不是通過；先檢查網路與憑證，勿使用 –insecure 跳過驗證。多站或多個安裝必須逐一確認路徑，不能以一個結果代表整台主機。備份可參考備份檔雜湊驗證。

保留證據、確認後再復原

將警告、版本、語系、時間和檔案雜湊交由管理者判讀；若懷疑入侵，先依事件流程隔離與保存證據，排查入口及帳號。經確認屬未授權修改後，使用可信來源的相同版本檔案或經驗證的備份，在測試及維護計畫下復原，避免覆蓋 wp-config.php 與 wp-content。復原後重新執行檢查並驗證前台、後台與必要功能；若功能受影響，回到已確認的備份並持續調查。

比對警告與未完成檢查

例如出現 Warning: File does not verify against checksum，接著顯示 installation does not verify against checksums，應保存列出的每個路徑，核對網站路徑、版本、語系與供應商正式客製。若顯示下載校驗資料或 TLS 失敗，則比對未完成；修復網路與信任鏈後再試，不要以略過憑證驗證方式宣稱通過。

管理者可記錄列出檔案的 SHA-256，供後續比對證據，例如：

sha256sum /home/example/public_html/wp-includes/version.php

這個值是當下檔案的識別紀錄，不等同 WP-CLI 使用的官方 MD5 校驗，也不能獨立證明安全。若疑似入侵，先保存檔案和日誌並依事件流程處理；復原後再執行核心校驗與功能測試。