Podejrzenie włamania do WordPressa pojawia się zwykle po konkretnym objawie: strona przekierowuje na obcą domenę, Google pokazuje spamerskie podstrony, pojawił się nieznany administrator, hosting wysyła ostrzeżenie albo antywirus wykrywa złośliwy skrypt.
Szybka odpowiedź
Nie zaczynaj od przypadkowego kasowania plików. Najpierw zabezpiecz aktualny stan i logi, ogranicz dostęp napastnika, zmień dane uwierzytelniające, sprawdź konta i źródło infekcji. Dopiero potem czyść pliki i bazę. Jeśli usuniesz tylko widoczny payload, ale zostawisz podatną wtyczkę lub backdoor, strona może zostać zainfekowana ponownie.
Jak rozpoznać włamanie?
Typowe sygnały to przekierowania, nowe pliki PHP w nietypowych katalogach, nieznani administratorzy, spam SEO, zmieniony .htaccess, masowe wysyłanie poczty albo nagły wzrost wykorzystania CPU.
Nie każdy dziwny plik jest malware. WordPress, wtyczki i cache również tworzą pliki dynamicznie. Dlatego liczy się kontekst: data modyfikacji, właściciel, zawartość i powiązanie z żądaniami z logów.
1. Zabezpiecz kopię stanu po incydencie
Kopia zainfekowanej strony może wydawać się bezwartościowa, ale pomaga w analizie. Zapisz pliki, bazę i logi, zanim zaczniesz sprzątać.
2. Ogranicz możliwość dalszych zmian
Zmień hasła administratorów, SFTP/SSH, panelu hostingowego i bazy, jeśli istnieje ryzyko ich przejęcia. Unieważnij niepotrzebne klucze API i sesje.
3. Sprawdź użytkowników i uprawnienia
Usuń lub zablokuj konta, których nie rozpoznajesz. Zweryfikuj, czy zwykły redaktor nie dostał praw administratora. Zobacz, kiedy konta powstały.
4. Znajdź punkt wejścia
Sprawdź wersje WordPressa, motywu i pluginów, podatności znane dla używanych rozszerzeń, logi żądań oraz ostatnie logowania. Jeżeli nie znajdziesz przyczyny, po „czyszczeniu” możesz przywrócić dokładnie te same warunki, które pozwoliły na włamanie.
5. Porównaj rdzeń WordPressa z czystą wersją
Pliki rdzenia można zastąpić czystymi kopiami odpowiedniej wersji. Wtyczki i motywy najlepiej instalować ponownie z zaufanych źródeł zamiast ręcznie czyścić setki plików.
6. Przeskanuj uploady i bazę
Katalog uploadów powinien zawierać głównie media. Pliki PHP w nietypowych lokalizacjach wymagają szczególnej uwagi. Sprawdź też wp_options, treści, użytkowników i zaplanowane zadania.
7. Zmień sekrety i dane dostępowe
Po usunięciu infekcji zmień klucze uwierzytelniające WordPressa oraz hasła, które mogły zostać ujawnione.
8. Zaktualizuj i monitoruj
Usuń nieużywane rozszerzenia, zaktualizuj podatne komponenty, popraw uprawnienia i włącz dodatkowe zabezpieczenia na serwerze. Potem monitoruj logi, zmiany plików, ruch wychodzący i konta przez kolejne dni.
Czy przywrócić backup sprzed włamania?
Jeśli masz pewną kopię sprzed incydentu, może znacznie przyspieszyć odzyskanie strony. Nadal trzeba jednak zamknąć lukę, przez którą doszło do ataku.
Minimalny standard bezpieczeństwa dla firmy
Przy temacie zhakowany WordPress nie warto szukać jednej „najlepszej wtyczki”. Bezpieczeństwo powinno tworzyć kilka niezależnych warstw. Jeśli jedna zawiedzie, kolejna nadal ogranicza skutki incydentu.
Minimalny zestaw obejmuje: aktualny kod, indywidualne konta administratorów, silne uwierzytelnienie, poprawne uprawnienia plików, ograniczenie zbędnych usług, backup off-site oraz monitoring. Na serwerze dochodzą firewall, aktualizacje systemu, logi i izolacja aplikacji.
Po wdrożeniu zabezpieczeń wykonaj prosty audyt: sprawdź listę administratorów, nieużywane wtyczki, publicznie dostępne pliki, działanie kopii i sposób reagowania na awarię. Zabezpieczenie, którego nikt później nie kontroluje, z czasem przestaje być zabezpieczeniem.
Powiązane poradniki HeatLogic
Potrzebujesz pomocy?
Jeżeli WordPress został zhakowany, HeatLogic może zabezpieczyć kopię incydentu, oczyścić stronę, znaleźć przyczynę i wdrożyć monitoring po przywróceniu.
Najczęściej zadawane pytania
Czy wystarczy zainstalować antywirusową wtyczkę?
Nie. Skaner może pomóc znaleźć część infekcji, ale trzeba także ustalić punkt wejścia, sprawdzić bazę, konta, logi i infrastrukturę.
Czy można po prostu przywrócić backup?
Można, jeśli kopia jest czysta, ale przed ponownym uruchomieniem trzeba usunąć podatność, która umożliwiła włamanie.
Czy zmiana hasła administratora wystarczy?
Nie. Napastnik może mieć backdoor w plikach, inne konto, klucz API lub dostęp do hostingu.
Skąd wiadomo, że strona jest już czysta?
Potrzebne jest połączenie analizy plików, bazy, kont, logów i obserwacji po przywróceniu.