Najważniejsze w 30 sekund
- Nie kasuj w panice. Najpierw kopia obecnego stanu i zmiana wszystkich haseł.
- Najszybciej: przywróć czystą kopię sprzed włamania (w Zenbox – do 7 dni wstecz).
- Brak czystej kopii? Podmień rdzeń, wtyczki i motywy na oryginalne, usuń pliki PHP z uploads.
- Bez zamknięcia luki (nieaktualna wtyczka, słabe hasło) infekcja wróci w kilka dni.
Strona zhakowana i nie chcesz ryzykować? Wyczyszczę ją za Ciebie →
7 dni
tyle wstecz sięgają kopie w Zenbox
0
plików .php powinno być w uploads
7
kroków czyszczenia
do 2 tyg.
zwykle trwa zdjęcie ostrzeżenia Google
Objawy, że strona została zhakowana
Dziwne przekierowania
Często tylko z Google albo tylko na telefonie – zalogowany administrator ich nie widzi. Sprawdzaj w trybie incognito i na telefonie.
Ostrzeżenia i spam w Google
Komunikat „Ta witryna mogła zostać zhakowana”, wpisy o lekach i kasynach w wynikach dla Twojej domeny.
Obce konta i pliki
Nowi administratorzy, nieznane wtyczki, pliki PHP w wp-content/uploads.
Hosting bije na alarm
Nagły wzrost zużycia zasobów, blokada konta, wiadomości o spamie wysyłanym z Twojej domeny.
Przywrócenie kopii usuwa skutki włamania, ale nie przyczynę. Bez zamknięcia luki atak powtórzy się w ciągu dni.
Plan czyszczenia w 7 krokach
1
Kopia obecnego stanu i nowe hasła
Punkt wyjścia do analizy i zabezpieczenie przed dalszym dostępem.
2
Przywróć czystą kopię
Najszybsza droga – jeśli masz kopię sprzed włamania.
3
Podmień pliki WordPressa
Rdzeń z wordpress.org i sprawdzenie sum kontrolnych WP-CLI.
4
Wyczyść wtyczki, motywy i uploads
Świeże instalacje i usunięcie plików PHP z uploads.
5
Sprawdź bazę i użytkowników
Obce konta, ukryte skrypty we wpisach i opcjach.
6
Zamknij drogę ataku
Aktualizacje, koniec z pirackimi wtyczkami, 2FA, nowe klucze.
7
Poproś Google o weryfikację
Zdjęcie ostrzeżenia i usunięcie spamu z indeksu.
Krok 1: Nie usuwaj niczego w panice – zrób kopię
Zanim zaczniesz kasować pliki, zrób kopię plików i bazy w obecnym stanie. Brzmi dziwnie, skoro strona jest zainfekowana, ale ta kopia pozwala wrócić do punktu wyjścia, jeśli usuniesz coś potrzebnego, i pomaga ustalić, którędy wszedł atakujący.
- Panel WordPressa – hasła wszystkich administratorów.
- Panel Klienta hostingu – i włącz w nim 2FA.
- FTP i SSH – wszystkie konta.
- Baza danych – nowe hasło wpisz potem w wp-config.php.
Krok 2: Przywróć czystą kopię zapasową
Najszybsza droga to kopia sprzed włamania. W Zenbox kopie powstają automatycznie co 6 godzin i są trzymane przez 7 dni. Przywrócisz je w Panelu Klienta → Kopie zapasowe → Przywróć pliki lub bazy – osobno pliki i osobno bazę, wybierając dzień i godzinę. Instrukcje: pomoc Zenbox – Kopie zapasowe.
Działaj szybko. Jeśli infekcja jest starsza niż 7 dni, na serwerze nie będzie już czystej kopii – dlatego warto mieć dodatkowe kopie poza serwerem. Po przywróceniu i tak przejdź do kroków 5–7.
Nie wiesz, kiedy było włamanie? Porównaj daty modyfikacji plików PHP – zainfekowane pliki często mają świeże daty, a kod jest zaciemniony: długie ciągi znaków, base64_decode, eval, gzinflate.
Krok 3: Podmień pliki WordPressa na oryginalne
Gdy nie masz czystej kopii, czyścisz ręcznie. W Zenbox pliki strony znajdziesz w Panelu Klienta → Hosting → Manager plików, w katalogu /domains/twojadomena.pl/public_html/. Pobierz z wordpress.org tę samą wersję WordPressa i podmień w całości katalogi wp-admin i wp-includes.
Zenbox udostępnia WP-CLI przez SSH, więc od razu sprawdzisz, które pliki rdzenia i wtyczek zostały zmienione:
wp core verify-checksums
wp plugin verify-checksums --all
Ilustracja: przykładowy wynik sprawdzenia sum kontrolnych. Pliki zmienione albo nieznane traktuj jako podejrzane.
Krok 4: Wyczyść wtyczki, motywy i katalog uploads
Wtyczki i motywy
Usuń wszystko, czego nie używasz. Pozostałe zainstaluj na nowo z oficjalnych źródeł – nie przez „aktualizację”, tylko usuń folder i wgraj świeży.
wp-content/uploads
Nie powinno tu być żadnych plików .php. Każdy taki plik to niemal na pewno tylna furtka (backdoor).
Główny katalog
Sprawdź wp-config.php, .htaccess i index.php. Atakujący lubią dopisywać tam przekierowania i dodatkowe include.
Nie wiesz, który plik jest zainfekowany?
Wyczyszczę stronę z malware, usunę tylne furtki i zabezpieczę logowanie – z kopią zapasową przed każdą zmianą.
Zgłoś włamanie →Krok 5: Sprawdź bazę danych i użytkowników
W panelu WordPressa wejdź w Użytkownicy i usuń konta, których nie znasz – szczególnie administratorów. Złośliwy kod bywa też w bazie: w treści wpisów (ukryte linki, znaczniki script) i w tabeli opcji. Wtyczka skanująca, np. Wordfence, pomoże znaleźć takie fragmenty.
Nie dajesz rady? Napisz do pomocy technicznej Zenbox – pomogą ustalić, które pliki są zainfekowane.
Krok 6: Zamknij drogę, którą wszedł atakujący
Przyczyna włamania
Jak często
Co zrobić
Nieaktualne wtyczki ze znaną luką
✕ najczęściej
✓ aktualizuj na bieżąco
Pirackie wtyczki „nulled”
✕ często
✓ tylko oficjalne źródła
Słabe lub wyciekłe hasła
! często
✓ nowe hasła i 2FA
Dziurawe PHP na serwerze
! rzadziej
✓ aktualne, załatane PHP
Na koniec wygeneruj nowe klucze bezpieczeństwa (salt) w wp-config.php – to wyloguje wszystkie sesje, także atakującego. Gotowe klucze wygenerujesz pod adresem api.wordpress.org/secret-key/1.1/salt/. Więcej o zabezpieczeniu logowania: Bezpieczne logowanie do WordPressa – 2FA.
Krok 7: Poproś Google o ponowne sprawdzenie
Jeśli Google oznaczył stronę jako niebezpieczną, w Google Search Console otwórz raport Problemy dotyczące bezpieczeństwa, opisz, co zrobiłeś, i poproś o weryfikację. Zwykle trwa to od kilku dni do dwóch tygodni.
Sprawdź też w Search Console, czy w indeksie nie zostały spamerskie podstrony. Usuń je i ustaw dla nich kod 410 – Google szybciej je wtedy zapomni.
Jak nie dopuścić do kolejnego włamania
Tak włamanie wraca
- przywrócona kopia bez aktualizacji wtyczek
- pirackie wtyczki i motywy
- stare hasła i brak 2FA
- kopie tylko na tym samym serwerze
- nikt nie monitoruje strony
Tak masz spokój
- WordPress, wtyczki i motyw zawsze aktualne
- tylko oficjalne źródła, nieużywane usunięte
- 2FA i limit prób logowania
- kopie także poza serwerem
- monitoring – wiesz o problemie przed Google
Po włamaniu pojawił się biały ekran albo komunikat o błędzie? Zajrzyj do poradnika Błąd krytyczny w WordPress – jak go naprawić.
Pomoc po włamaniu
Wyczyszczę i zabezpieczę Twoją stronę
Zajmę się całym procesem – od analizy po zdjęcie ostrzeżenia:
- Analiza – którędy wszedł atakujący
- Czyszczenie plików, bazy i tylnych furtek
- Zamknięcie luki – aktualizacje, wymiana wtyczek
- Zabezpieczenie logowania – 2FA, nowe hasła i klucze
- Google – prośba o weryfikację i usunięcie spamu z indeksu
Wycena jest bezpłatna i do niczego nie zobowiązuje.