Jak naprawić zainfekowanego WordPressa? Przewodnik krok po kroku

Odwiedzasz swoją stronę, a zamiast oferty widzisz reklamy podejrzanych farmaceutyków. Albo Google wyświetla przy niej komunikat „Ta witryna mogła paść ofiarą ataku hakerów”. Brzmi znajomo? Infekcje WordPressa to jeden z najczęstszych problemów, z jakimi zgłaszają się do nas właściciele stron — i prawie zawsze da się je wyleczyć. Poniżej pokazujemy krok po kroku, jak naprawić zainfekowaną stronę i sprawić, żeby problem nie wrócił.

Skąd wiadomo, że strona jest zainfekowana?

Złośliwy kod rzadko ogłasza się wprost — często działa tygodniami, zanim ktokolwiek go zauważy. Najczęstsze objawy to:

• przekierowania na obce strony (bywa, że tylko z wyników Google albo tylko na urządzeniach mobilnych),
• obce treści w wynikach wyszukiwania — japońskie lub „farmaceutyczne” frazy podpięte pod Twoją domenę (tzw. SEO spam),
• ostrzeżenie „Ta witryna mogła paść ofiarą ataku hakerów” w Google lub czerwony ekran blokady w przeglądarce,
• spam wysyłany z Twojej domeny i firmowe maile lądujące w folderze spam,
• nagłe spowolnienie strony albo skokowe obciążenie serwera,
• konta administratorów, wtyczki lub pliki, których nikt z zespołu nie tworzył.

Krok 1: opanuj sytuację

Zanim zaczniesz cokolwiek kasować, zabezpiecz teren:

• Zrób kopię obecnego stanu — plików i bazy danych. Brzmi przewrotnie (po co backup zainfekowanej strony?), ale jeśli sprzątanie pójdzie nie tak, będzie do czego wrócić, a próbka złośliwego kodu pomoże ustalić wektor ataku.
• Włącz tryb konserwacji albo tymczasowo ogranicz ruch — im mniej odwiedzających trafi na zainfekowaną stronę, tym lepiej dla nich i dla Twojej reputacji.
• Zmień wszystkie hasła: do panelu WordPressa, FTP/SSH, bazy danych i panelu hostingu. Napastnik mógł je przechwycić.
• Przejrzyj listę użytkowników i usuń nieznane konta z uprawnieniami administratora.

Krok 2: zdiagnozuj zakres infekcji

Podstawowe pytanie brzmi: które pliki zostały zmienione? Jeśli masz dostęp do konsoli, świetnie sprawdzi się WP-CLI, które porówna pliki rdzenia i wtyczek z oficjalnymi sumami kontrolnymi:

wp core verify-checksums
wp plugin verify-checksums --all

Warto też wyszukać pliki modyfikowane w ostatnim czasie oraz klasyczne sygnatury złośliwego kodu:

find . -name "*.php" -mtime -14 -not -path "./wp-content/cache/*"
grep -rl "eval(base64_decode" --include="*.php" .

Szczególną uwagę zwróć na katalog wp-content/uploads — nie powinien zawierać żadnych plików PHP:

find wp-content/uploads -name "*.php"

W diagnozie pomogą również skanery: Wordfence lub Sucuri SiteCheck od strony aplikacji oraz skaner antywirusowy hostingu od strony serwera. Pamiętaj jednak, że skaner znajduje znane sygnatury — czysty wynik nie zawsze oznacza czystą stronę.

Krok 3: usuń złośliwy kod

Pliki

Najskuteczniejsza metoda to nie „wycinanie” podejrzanych linijek, tylko wymiana wszystkiego, co da się wymienić, na czyste wersje: rdzeń WordPressa wgraj ponownie z wordpress.org, wtyczki i motywy zainstaluj od zera z oficjalnych repozytoriów lub od producentów. Ręcznej analizy wymagają tylko pliki unikalne dla Twojej strony: motyw autorski, wp-config.php, .htaccess i zawartość uploads.

Baza danych

Złośliwy kod potrafi przetrwać w bazie: sprawdź tabelę użytkowników pod kątem obcych administratorów, przejrzyj wp_options (zwłaszcza siteurl, home i opcje z osadzonym kodem), poszukaj wstrzykniętych skryptów w treściach wpisów oraz podejrzanych zaplanowanych zadań (cron). Po sprzątaniu wygeneruj nowe klucze i sole w wp-config.php — unieważni to wszystkie aktywne sesje.

Krok 4: znajdź furtkę i ją zamknij

Usunięcie infekcji bez znalezienia jej źródła to proszenie się o powtórkę za dwa tygodnie. Zdecydowana większość włamań na WordPressa wynika z jednej z czterech przyczyn: nieaktualnej wtyczki lub motywu ze znaną podatnością, „nulled” wtyczek premium z nielegalnych źródeł (bardzo często mają wbudowane backdoory), słabych lub wyciekniętych haseł albo infekcji sąsiedniej strony na tym samym koncie hostingowym. Przejrzyj logi serwera z okresu infekcji — zwykle widać w nich pierwsze żądania do złośliwego pliku i to, którędy napastnik wszedł.

Krok 5: odbuduj zaufanie

Gdy strona jest czysta: zaktualizuj wszystko do najnowszych wersji, poproś o ponowną ocenę w Google Search Console (sekcja „Problemy dotyczące bezpieczeństwa”), sprawdź domenę na listach antyspamowych i obserwuj stronę przez kilka tygodni — nawrót infekcji oznacza, że furtka wciąż jest otwarta.

Jak nie dać się zainfekować ponownie?

• regularne aktualizacje rdzenia, wtyczek i motywów (a przy stałej opiece — testowane przed wdrożeniem),
• kopie zapasowe poza serwerem strony, robione automatycznie i testowane,
• dwuskładnikowe logowanie (2FA) dla wszystkich administratorów,
• minimalizacja liczby wtyczek — każda to potencjalne drzwi,
• zapora aplikacyjna (WAF) i monitoring zmian w plikach,
• silne, unikalne hasła z menedżera haseł — bez wyjątków.

Kiedy oddać naprawę specjalistom?

Jeśli strona to ważny kanał sprzedaży, infekcja wraca mimo sprzątania albo po prostu nie czujesz się pewnie w plikach i bazie danych — nie ryzykuj. W Okinet od lat naprawiamy zainfekowane strony na WordPressie: usuwamy złośliwy kod, ustalamy źródło włamania, utwardzamy konfigurację i bierzemy strony pod stałą opiekę techniczną, żeby problem nie wrócił. Odezwij się do nas — im szybciej zareagujesz, tym mniejsze straty.