Włamanie na WordPress – co zrobić krok po kroku, gdy strona jest zainfekowana
Telefon od klienta: „Wchodzę na Waszą stronę, a przekierowuje mnie na jakieś kasyno”. To jeden z najgorszych momentów dla właściciela firmy. Dobra wiadomość jest taka, że zainfekowany WordPress da się wyczyścić – pod warunkiem, że działasz metodycznie, a nie w panice.
Objawy, że WordPress został zainfekowany
- Przekierowania na obce strony – często tylko na telefonach albo tylko dla osób wchodzących z Google, więc Ty możesz ich nie widzieć.
- Nowe, nieznane konta administratorów w kokpicie.
- Dziwne wyniki dla Twojej domeny w Google – japońskie znaki, apteki, kasyna.
- Ostrzeżenie przeglądarki „Ta witryna może być niebezpieczna” lub komunikat w Google Search Console w sekcji „Problemy z bezpieczeństwem”.
- Hosting blokuje konto albo informuje o wysyłce spamu z serwera.
Pierwsza godzina – zabezpiecz sytuację
- Nie kasuj niczego na ślepo. Zrób kopię zainfekowanej strony (pliki + baza) – przyda się do analizy, którędy weszli.
- Zmień wszystkie hasła: konta administratorów, FTP/SFTP, panel hostingu, baza danych (i zaktualizuj ją w wp-config.php).
- Wyloguj wszystkich – najprościej, generując nowe klucze i sole w wp-config.php.
- Jeśli strona aktywnie szkodzi odwiedzającym, włącz tryb konserwacji lub tymczasowo ją wyłącz.
Czyszczenie plików
Rdzeń WordPressa najłatwiej zweryfikować narzędziem WP-CLI, które porównuje pliki z oficjalnymi sumami kontrolnymi:
wp core verify-checksums
wp plugin verify-checksums --allZmienione pliki rdzenia podmieniam na świeżą kopię z wordpress.org, a wtyczki i motywy instaluję od nowa z zaufanego źródła – nie próbuję „łatać” zainfekowanych plików ręcznie. Potem szukam typowych śladów:
- pliki PHP w katalogu
wp-content/uploads/– tam nie powinno ich być wcale, - zaciemniony kod:
eval(,base64_decode(,gzinflate(, długie ciągi losowych znaków, - niedawno zmodyfikowane pliki, których nie zmieniałeś (
find . -name "*.php" -mtime -7), - dopisane reguły przekierowań w plikach .htaccess – także w podkatalogach.
Usunięcie złośliwego kodu to połowa pracy. Jeśli nie zamkniesz luki, którą weszli, infekcja wróci – zwykle w ciągu kilku dni.
Czyszczenie bazy danych i kont
- Usuń nieznanych użytkowników i sprawdź role pozostałych.
- Przejrzyj tabelę
wp_options– adresysiteurlihomeoraz podejrzane wpisy ładowane automatycznie. - Poszukaj wstrzykniętych skryptów w treści wpisów i stron (
<script,iframe). - Sprawdź zaplanowane zadania WP-Cron – infekcje lubią się w nich odtwarzać.
Po oczyszczeniu – zamknij drzwi
- Zaktualizuj wszystko i usuń nieużywane wtyczki – najczęściej to one były furtką.
- Wdróż hardening, 2FA dla administratorów i firewall aplikacyjny.
- Jeśli Google oznaczył stronę, w Search Console poproś o weryfikację w sekcji „Problemy z bezpieczeństwem”.
- Ustaw monitoring zmian w plikach i kopie zapasowe poza serwerem.
Jeżeli nie masz pewności, czy oczyściłeś wszystko – lepiej poprosić o pomoc, niż za tydzień zaczynać od nowa. Szybka reakcja ogranicza też straty w wynikach wyszukiwania.
Najczęstsze pytania
Co zrobić zaraz po włamaniu na WordPress?
Najpierw zmień wszystkie hasła (administrator, baza danych, FTP, panel hostingu), zrób kopię obecnego stanu do analizy, a następnie usuń złośliwy kod albo przywróć czystą kopię zapasową. Na końcu zamknij lukę, przez którą ktoś się dostał, żeby atak się nie powtórzył.
Czy po włamaniu wystarczy przywrócić kopię zapasową?
Pomaga, ale nie wystarczy. Jeśli nie zamkniesz luki, przez którą doszło do włamania, infekcja wróci. Trzeba też upewnić się, że sama kopia nie jest już zainfekowana.
Jak zdjąć ostrzeżenie Google „ta strona może być niebezpieczna”?
Najpierw w pełni wyczyść stronę ze złośliwego kodu, a potem poproś o ponowną weryfikację w Google Search Console. Dopóki na stronie jest infekcja, ostrzeżenie będzie wracać.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
