Strona WordPress zhakowana: co robić w pierwszej godzinie
4 listopada 2026
Podejrzenie włamania najczęściej zaczyna się od jednego z objawów: strona przekierowuje na obce adresy, w wynikach Google pojawiają się nieznane podstrony (często z reklamami leków, kasyn, odzieży), przeglądarka ostrzega „Ta witryna może wyrządzić szkody”, hosting zablokował konto albo na koncie administratora pojawił się nieznany użytkownik. Poniżej kolejność działań, która ogranicza szkody.
Nie kasuj niczego i zrób kopię stanu obecnego
Zanim cokolwiek naprawisz, zrób pełną kopię plików i bazy w obecnym stanie (nawet zainfekowanym). Jest dowodem, pozwala ustalić, którędy wszedł atakujący, i zabezpiecza przed pomyłką przy czyszczeniu. Kopię trzymaj poza tym hostingiem.
Odetnij atakującego
- Zmień hasła: panel hostingu, FTP/SFTP, baza danych, wszystkie konta administratorów WordPressa, poczta na domenie. Hasła zmieniaj z czystego komputera.
- Usuń nieznanych użytkowników z rolą administratora.
- Jeśli to możliwe, włącz tryb konserwacji albo zablokuj dostęp do strony, żeby zainfekowana wersja nie rozsyłała złośliwych treści odwiedzającym.
- W wp-config.php wygeneruj nowe klucze i sole (unieważniają zalogowane sesje).
Ustal, co jest zmienione
Typowe ślady włamań, które warto sprawdzić:
- pliki PHP w katalogach, gdzie ich być nie powinno (wp-content/uploads), pliki o losowych nazwach, ostatnio zmodyfikowane pliki rdzenia;
- zmodyfikowane wp-config.php, index.php, .htaccess, functions.php motywu;
- nieznane wtyczki lub motywy, w tym wtyczki „ukryte” przed listą;
- zadania cron w bazie, które pobierają kod z obcych adresów;
- podejrzane wpisy w bazie (kod JavaScript w treści wpisów i opcjach).
Porównaj pliki rdzenia z oficjalnym pakietem WordPressa tej samej wersji. Pliki motywu i wtyczek porównaj z oryginalną paczką z repozytorium.
Znajdź drogę wejścia, inaczej wróci
Najczęstsze drogi to nieaktualna wtyczka lub motyw z luką, słabe lub wyciekłe hasło, nieaktualny WordPress, wtyczki porzucone przez autorów, zainfekowany komputer osoby z dostępem oraz współdzielony hosting, na którym zainfekowano sąsiednią stronę. Logi serwera (access i error) pokazują, które żądania poprzedziły pierwszą zmianę plików. Bez ustalenia przyczyny samo czyszczenie często kończy się ponowną infekcją.
Wyczyść albo odtwórz
Najpewniejsza droga: odtworzyć rdzeń WordPressa z czystego pakietu, wtyczki i motywy zainstalować od nowa z oficjalnych źródeł, a z kopii przywrócić tylko treść (baza po przeglądzie i katalog uploads po usunięciu plików wykonywalnych). Ręczne wycinanie złośliwego kodu bywa zawodne, bo tylne furtki są często w wielu miejscach.
Zabezpiecz, żeby się nie powtórzyło
- aktualizacje rdzenia, wtyczek i motywów, usunięcie nieużywanych;
- uwierzytelnianie dwuskładnikowe dla administratorów, unikalne silne hasła;
- zakaz wykonywania PHP w katalogu uploads;
- ograniczenie prób logowania;
- regularne kopie poza serwerem i sprawdzony test odtworzenia;
- monitoring zmian plików.
Posprzątaj po wizerunku
Jeśli Google oznaczył stronę jako niebezpieczną, po oczyszczeniu zgłoś ją do ponownej oceny w Google Search Console (sekcja Problemy związane z bezpieczeństwem). Usuń podstrony ze spamem i poproś o ponowne przeskanowanie. Jeśli w sklepie mogły wyciec dane klientów, sprawdź obowiązek zgłoszenia naruszenia ochrony danych osobowych do UODO (co do zasady w ciągu 72 godzin od stwierdzenia naruszenia, jeśli rodzi ryzyko dla osób); w razie wątpliwości skonsultuj z prawnikiem.
Kiedy warto poprosić o pomoc
Gdy nie wiesz, którędy atakujący wszedł, gdy dotyczy to sklepu z danymi klientów, gdy infekcja wraca po czyszczeniu albo hosting zablokował konto. Zaczynam od pełnej kopii stanu obecnego, diagnozę prowadzę na kopii, ustalam drogę wejścia na podstawie logów i plików, odtwarzam czyste pliki i zabezpieczam stronę, a na koniec opisuję, co było przyczyną. Zakres i koszt podaję przed rozpoczęciem prac, bez Twojej zgody nie zaczynam. Opisz problem przez formularz albo zobacz opiekę nad WordPressem, która ogranicza ryzyko takiej sytuacji.
Najczęstsze pytania
Czy mogę sam usunąć wirusa z WordPressa?
Tak, jeśli wiesz, którędy wszedł atakujący i potrafisz odtworzyć czyste pliki. Samo usunięcie widocznego kodu rzadko wystarcza.
Czy kopia zapasowa z hostingu wystarczy?
Tylko jeśli powstała przed włamaniem; dlatego przywracaj treść po przeglądzie, a nie całość.
Jak długo Google oznacza stronę jako niebezpieczną?
Do czasu zgłoszenia ponownej oceny po oczyszczeniu; czas rozpatrzenia zależy od Google.