CodeFix.IT
WordPress • zdalnie • cała Polska
WordPress zhakowany — co zrobić najpierw, krok po kroku
Typowe objawy włamania to przekierowania na obce strony (często tylko z telefonu albo z wyników Google), dziwne podstrony w Google, nowe konta administratora, ostrzeżenie w przeglądarce albo mail od hostingu. Najgorszy ruch to chaotyczne kasowanie plików. Najpierw zabezpiecz dostęp i zrób kopię, potem szukaj przyczyny.
Spis treści
1. Zabezpiecz dostęp
Zmień hasła do wszystkich miejsc, przez które można zmienić stronę, i sprawdź, czy w WordPressie nie pojawili się nowi administratorzy. Nieznane konto z rolą administratora to jeden z najczęstszych śladów włamania.
- hasła do panelu WordPress (wszystkie konta administratorów)
- hasło do hostingu, FTP/SFTP i bazy danych
- lista użytkowników — usuń nieznane konta administratora
- wylogowanie wszystkich aktywnych sesji
- włączone logowanie dwuetapowe tam, gdzie to możliwe
2. Zrób kopię przed sprzątaniem
Kopia zainfekowanej strony (pliki i baza) pomaga ustalić, którędy weszli atakujący i co zmienili. Nie nadpisuj nią jedynej kopii sprzed włamania — trzymaj obie osobno.
3. Znajdź źródło, nie tylko objawy
Usunięcie widocznego przekierowania nie wystarczy, jeśli na serwerze został ukryty plik (backdoor), przez który atakujący wróci. Najczęstsze drogi wejścia to nieaktualne wtyczki i motywy, wtyczki z nieoficjalnych źródeł („nulled”) oraz przejęte hasła.
Pomocne jest porównanie plików z oryginałami: WP-CLI ma polecenia wp core verify-checksums i wp plugin verify-checksums. Warto też sprawdzić pliki PHP w katalogu uploads (zwykle nie powinno ich tam być) oraz podejrzane wpisy w bazie danych.
4. Wyczyść i zamknij furtkę
Jeśli masz pewną kopię sprzed infekcji, przywrócenie jej bywa najszybsze — ale od razu potem trzeba załatać przyczynę, inaczej włamanie się powtórzy. W sklepie pamiętaj o zamówieniach złożonych po wykonaniu tej kopii.
Bez kopii: podmień pliki WordPressa, motywu i wtyczek na świeże z oficjalnych źródeł, usuń obce pliki, zaktualizuj wszystko i zmień klucze bezpieczeństwa (salts) w pliku wp-config.php, co wyloguje wszystkie sesje.
5. Po sprzątaniu: Google i monitoring
Jeśli Google oznaczył stronę jako niebezpieczną, w Search Console w sekcji „Bezpieczeństwo i ręczne działania” → „Problemy z bezpieczeństwem” po wyczyszczeniu poproś o weryfikację. Usuń też z indeksu podstrony ze spamem, które dodali atakujący.
Na przyszłość: regularne aktualizacje, automatyczne kopie poza serwerem, logowanie dwuetapowe i monitorowanie zmian w plikach.
Najczęstsze pytania
Czy wystarczy wtyczka antywirusowa?
Pomaga wykryć infekcję, ale nie zawsze usuwa jej źródło. Jeśli nie znajdziesz drogi wejścia i ukrytych plików, problem zwykle wraca.
Czy po prostu przywrócić kopię zapasową?
Tylko kopię sprzed infekcji i tylko razem z usunięciem przyczyny, np. aktualizacją dziurawej wtyczki i zmianą haseł. Sama kopia przywraca też tę samą furtkę.
Czy muszę kogoś informować o włamaniu?
Jeśli mogły wyciec dane osobowe klientów, np. z formularzy lub sklepu, RODO może wymagać zgłoszenia naruszenia do UODO w ciągu 72 godzin od jego wykrycia. W razie wątpliwości skonsultuj to z prawnikiem.
Naprawa WordPress — zobacz zakres usługi
Jak bezpiecznie aktualizować WordPress, żeby zamknąć furtki
Kopia zapasowa WordPress — jak ją zrobić i sprawdzić, że naprawdę działa