Накратко: Ако Вашият WordPress сайт показва чуждо съдържание, пренасочва или изведнъж е бавен, изхождайте от най-лошото и се свържете с нас още сега. Поемаме от първото съобщение: запазване на следите, блокиране на достъпите, търсене на задни вратички, почистване на сайта и документиране на инцидента. Всичко отдалечено, без пътуване.
Сега не трийте нищо и не инсталирайте наново. Който премахва плъгини или възстановява резервно копие, преди да е направено запазване, унищожава следите към проникването. Засегнати ли сте? Обадете се или пишете по WhatsApp, или използвайте директно Съобщете за спешен случай.
Хакнат ли е Вашият WordPress?
Атаката срещу WordPress не винаги прави впечатление. Тези признаци говорят за компрометиране:
- Посетителите се пренасочват към чужди сайтове, реклама или фалшиви магазини, често само от мобилен телефон или от търсачки
- в Google се появяват страници от Ваше име с текстове за фармацевтика, хазарт или на чужди езици, вижте SEO спам в индекса на Google
- в таблото има администратори, които никой не е създавал, или паролите изведнъж не могат да се нулират
- в папката
wp-content/uploadsима.phpфайлове, които не бива да са там (как да тълкувате такива находки) - появяват се плъгини или теми, които никога не сте инсталирали, или изчезват от само себе си
- Вашият хостинг доставчик съобщава за изпращане на спам, високо натоварване или блокира сайта
- браузърът или Google показват предупреждение за Вашия сайт
Още признаци на ниво сървър има в Компрометиран ли съм вече?.
Какво да направите веднага
- Пуснете сайта в режим на поддръжка или го изключете от мрежата, ако посетителите са изложени на риск. Оставете файловете непроменени.
- Не деинсталирайте нищо и не трийте файлове. Дори плъгини, които изглеждат подозрителни.
- Поискайте запазване на логовете: Помолете хостинг доставчика да не презаписва протоколите за достъп и грешки. Специализираната преса съветва сървърните логове от 20.10.2026 г. нататък да се пазят.
- Съберете достъпите: Кой има администраторски достъп до WordPress, FTP, SSH, хостинг панела и базата данни? Запишете го, но сменяйте паролите едва след уточняване и от чисто устройство.
- Проверете пощенските кутии: Акаунтът, записан в WordPress като администраторски адрес, може да се използва за нулиране на пароли.
- Информирайте участниците: управлението, длъжностното лице по защита на данните и при нужда застрахователя.
- Свържете се с нас, преди да продължите да се намесвате сами.
Как PHP SOS помага при хакнат WordPress сайт?
- Преглед на положението: Изясняваме какво виждате, какви плъгини и теми работят, кой е имал достъп и къде е сървърът.
- Запазване и затваряне: Файловете, базата данни и логовете се запазват, подозрителните достъпи се блокират, а сайтът при нужда се изолира.
- Проверка и почистване: Сравняваме основните файлове с оригинала (как се прави, обяснява тази статия), търсим задни вратички в плъгини, теми, качени файлове и базата данни и ги премахваме. Начинът на работа отговаря на нашата услуга Премахване на зловреден софтуер и уеб шелове.
- Заздравяване и отчет: Проверяват се състоянието на PHP, правата, защитата на администраторския достъп и актуализациите. Получавате доклад с времева линия, находки и препоръки.
Актуализация на WordPress срещу PHP2Shell: защо не стига
Много оператори вярват, че с най-новата версия на WordPress всичко е свършено. Не е така. PHP2Shell, т.е. CVE-2026-109618 и CVE-2026-109619, е в интерпретатора на PHP, върху който работи WordPress. Отстранена е в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Според Dr. Web WordPress.org не планира за нея собствена актуализация. Решаваща е средата за изпълнение на PHP на Вашия сървър; повече по темата в Защо актуализацията на WordPress не помага и на страницата WordPress и PHP2Shell.
Също така важи: пачът на PHP не премахва зловреден код, който вече е внедрен. И двете трябва да се проверят заедно.
Задни вратички в WordPress: къде се крият
Атакуващите предпочитат да оставят достъпи там, където рядко се поглежда: в Mu-плъгини, във файлове на темата като functions.php, в папки с изображения с двойно разширение на файла, в таблицата wp_options или в планираните задачи на WordPress. Подробности и начини за проверка ще намерите в Намиране на задни вратички в WordPress. След почистването всеки администраторски достъп трябва да се защити с двуфакторно удостоверяване.
Ако Вашият сайт е маркиран от Google или от браузър като опасен, първо отстраняваме причината и после подпомагаме проверката. Начина на работа описва Премахване на предупреждението на Google.
Как отново пускаме сайта
Един WordPress сайт се връща в мрежата едва когато основните файлове, плъгините и темата са проверени, данните за достъп и ключовете в конфигурацията са подменени и не съществува вече подозрителен потребител. След това проверяваме публичния сайт от гледна точка на посетител, включително от мобилен телефон, защото някои пренасочвания се появяват само там. После препоръчваме по-тесен контрол през следващите седмици. Уверение, че сайтът никога повече няма да бъде атакуван, няма, но има документирано, проверено състояние.
Какво да ни изпратите
- адреса на сайта и, ако е известен, хостинг доставчика
- от кога и по какво Ви е направило впечатление нещо
- снимки на екрана на предупреждения, пренасочвания или чужди администраторски акаунти
- списък на плъгините и на темата, доколкото е известен
- състоянието на последното резервно копие
Моля, не изпращайте данни за достъп по имейл без запитване; сигурния начин съгласуваме с Вас.
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, който съпровожда Вашия случай от първото съобщение до приключването. Работим отдалечено в цяла Германия и Европа, документираме всяка стъпка и обещаваме само онова, което може да се изпълни: работим, докато инцидентът бъде приключен и документиран. Ако е възможно да са засегнати лични данни, докладът Ви помага и при уведомяването по ОРЗД; правната оценка остава за Вашето длъжностно лице по защита на данните. Цялостната услуга описва страницата Хакнат уебсайт: Спешна помощ.
Засегнати ли сте? Обадете се. Помагаме Ви.
Ако Вашият WordPress сайт се държи подозрително, не чакайте следващата нередност. Свържете се с нас сега, по телефон или WhatsApp, и поемаме от първото съобщение. Съобщете за спешен случай сега
Често задавани въпроси
Достатъчно ли е да актуализирам WordPress и всички плъгини, ако сайтът е хакнат?
Не. Актуализацията затваря уязвимости за в бъдеще, но не премахва задна вратичка, която вече е на сървъра. Към това: уязвимостта в PHP PHP2Shell е в интерпретатора на PHP, а не в WordPress. Според съобщения WordPress.org не планира за нея собствена актуализация.
Мога ли да възстановя старо резервно копие и да приключа с това?
Само с повишено внимание. Който не знае момента на проникването, може вече да възстановява заразени файлове. Освен това входната врата остава отворена, ако никой не я е намерил. Първо запазване, после оценка, после възстановяване.
По какво да позная невидим администраторски акаунт в WordPress?
Някои акаунти не се показват в списъка с потребители, защото зловредният код филтрира изхода. Сверяване директно в базата данни и сравнение с познатите лица показва повече. Това е част от почистването, което поемаме ние.
Защо зловредният код се появява отново след изтриването?
Тогава обикновено има втора задна вратичка или механизъм, който зарежда файловете наново, например планирана задача или манипулирани файлове в необичайни папки. Който изтрива само видимите симптоми, се бори със знака, а не с причината.
Какво струва, ако Google маркира моя WordPress сайт като опасен?
Зависи от обхвата и усилията и може да се каже едва след първа оценка. Разумно е първо да се отстрани причината и после да се поиска проверка от Google.