# Хакнат WordPress? Професионална спешна помощ

> Хакнат WordPress? Запазваме следите, намираме задните вратички и връщаме сайта чист. Обадете се или пишете по WhatsApp.

Източник: https://phpsos.de/bg/soforthilfe/wordpress-gehackt-soforthilfe/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Ако Вашият WordPress сайт показва чуждо съдържание, пренасочва или изведнъж е бавен, изхождайте от най-лошото и се свържете с нас още сега. Поемаме от първото съобщение: запазване на следите, блокиране на достъпите, търсене на задни вратички, почистване на сайта и документиране на инцидента. Всичко отдалечено, без пътуване.

> **Действайте веднага:**
> **Сега не трийте нищо и не инсталирайте наново.** Който премахва плъгини или възстановява резервно копие, преди да е направено запазване, унищожава следите към проникването. Засегнати ли сте? Обадете се или пишете по WhatsApp, или използвайте директно [Съобщете за спешен случай](https://phpsos.de/bg/notfall/).

## Хакнат ли е Вашият WordPress?

Атаката срещу WordPress не винаги прави впечатление. Тези признаци говорят за компрометиране:

- Посетителите се пренасочват към чужди сайтове, реклама или фалшиви магазини, често само от мобилен телефон или от търсачки
- в Google се появяват страници от Ваше име с текстове за фармацевтика, хазарт или на чужди езици, вижте [SEO спам в индекса на Google](https://phpsos.de/bg/blog/seo-spam-im-google-index/)
- в таблото има администратори, които никой не е създавал, или паролите изведнъж не могат да се нулират
- в папката `wp-content/uploads` има `.php` файлове, които не бива да са там ([как да тълкувате такива находки](https://phpsos.de/bg/blog/php-dateien-im-upload-ordner/))
- появяват се плъгини или теми, които никога не сте инсталирали, или изчезват от само себе си
- Вашият хостинг доставчик съобщава за изпращане на спам, високо натоварване или блокира сайта
- браузърът или Google показват предупреждение за Вашия сайт

Още признаци на ниво сървър има в [Компрометиран ли съм вече?](https://phpsos.de/bg/php2shell/bin-ich-gehackt-anzeichen/).

## Какво да направите веднага

1. **Пуснете сайта в режим на поддръжка** или го изключете от мрежата, ако посетителите са изложени на риск. Оставете файловете непроменени.
2. **Не деинсталирайте нищо и не трийте файлове.** Дори плъгини, които изглеждат подозрителни.
3. **Поискайте запазване на логовете:** Помолете хостинг доставчика да не презаписва протоколите за достъп и грешки. Специализираната преса съветва сървърните логове от 20.10.2026 г. нататък да се пазят.
4. **Съберете достъпите:** Кой има администраторски достъп до WordPress, FTP, SSH, хостинг панела и базата данни? Запишете го, но сменяйте паролите едва след уточняване и от чисто устройство.
5. **Проверете пощенските кутии:** Акаунтът, записан в WordPress като администраторски адрес, може да се използва за нулиране на пароли.
6. **Информирайте участниците:** управлението, длъжностното лице по защита на данните и при нужда застрахователя.
7. **Свържете се с нас,** преди да продължите да се намесвате сами.

## Как PHP SOS помага при хакнат WordPress сайт?

1. **Преглед на положението:** Изясняваме какво виждате, какви плъгини и теми работят, кой е имал достъп и къде е сървърът.
2. **Запазване и затваряне:** Файловете, базата данни и логовете се запазват, подозрителните достъпи се блокират, а сайтът при нужда се изолира.
3. **Проверка и почистване:** Сравняваме основните файлове с оригинала ([как се прави, обяснява тази статия](https://phpsos.de/bg/blog/cms-kerndateien-vergleichen/)), търсим задни вратички в плъгини, теми, качени файлове и базата данни и ги премахваме. Начинът на работа отговаря на нашата услуга [Премахване на зловреден софтуер и уеб шелове](https://phpsos.de/bg/leistungen/malware-entfernung/).
4. **Заздравяване и отчет:** Проверяват се състоянието на PHP, правата, защитата на администраторския достъп и актуализациите. Получавате доклад с времева линия, находки и препоръки.

## Актуализация на WordPress срещу PHP2Shell: защо не стига

Много оператори вярват, че с най-новата версия на WordPress всичко е свършено. Не е така. PHP2Shell, т.е. CVE-2026-109618 и CVE-2026-109619, е в интерпретатора на PHP, върху който работи WordPress. Отстранена е в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Според Dr. Web WordPress.org не планира за нея собствена актуализация. Решаваща е средата за изпълнение на PHP на Вашия сървър; повече по темата в [Защо актуализацията на WordPress не помага](https://phpsos.de/bg/blog/warum-wordpress-update-nicht-hilft/) и на страницата [WordPress и PHP2Shell](https://phpsos.de/bg/plattformen/wordpress/).

Също така важи: пачът на PHP не премахва зловреден код, който вече е внедрен. И двете трябва да се проверят заедно.

## Задни вратички в WordPress: къде се крият

Атакуващите предпочитат да оставят достъпи там, където рядко се поглежда: в Mu-плъгини, във файлове на темата като `functions.php`, в папки с изображения с двойно разширение на файла, в таблицата `wp_options` или в планираните задачи на WordPress. Подробности и начини за проверка ще намерите в [Намиране на задни вратички в WordPress](https://phpsos.de/bg/ratgeber/backdoor-wordpress-finden/). След почистването всеки администраторски достъп трябва да се защити с [двуфакторно удостоверяване](https://phpsos.de/bg/ratgeber/zwei-faktor-admin/).

Ако Вашият сайт е маркиран от Google или от браузър като опасен, първо отстраняваме причината и после подпомагаме проверката. Начина на работа описва [Премахване на предупреждението на Google](https://phpsos.de/bg/ratgeber/google-warnung-entfernen/).

## Как отново пускаме сайта

Един WordPress сайт се връща в мрежата едва когато основните файлове, плъгините и темата са проверени, данните за достъп и ключовете в конфигурацията са подменени и не съществува вече подозрителен потребител. След това проверяваме публичния сайт от гледна точка на посетител, включително от мобилен телефон, защото някои пренасочвания се появяват само там. После препоръчваме по-тесен контрол през следващите седмици. Уверение, че сайтът никога повече няма да бъде атакуван, няма, но има документирано, проверено състояние.

## Какво да ни изпратите

- адреса на сайта и, ако е известен, хостинг доставчика
- от кога и по какво Ви е направило впечатление нещо
- снимки на екрана на предупреждения, пренасочвания или чужди администраторски акаунти
- списък на плъгините и на темата, доколкото е известен
- състоянието на последното резервно копие

Моля, не изпращайте данни за достъп по имейл без запитване; сигурния начин съгласуваме с Вас.

## Защо PHP SOS

Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, който съпровожда Вашия случай от първото съобщение до приключването. Работим отдалечено в цяла Германия и Европа, документираме всяка стъпка и обещаваме само онова, което може да се изпълни: работим, докато инцидентът бъде приключен и документиран. Ако е възможно да са засегнати лични данни, докладът Ви помага и при [уведомяването по ОРЗД](https://phpsos.de/bg/compliance/dsgvo-meldepflicht-72-stunden/); правната оценка остава за Вашето длъжностно лице по защита на данните. Цялостната услуга описва страницата [Хакнат уебсайт: Спешна помощ](https://phpsos.de/bg/leistungen/website-gehackt-notfallhilfe/).

## Засегнати ли сте? Обадете се. Помагаме Ви.

Ако Вашият WordPress сайт се държи подозрително, не чакайте следващата нередност. Свържете се с нас сега, по телефон или WhatsApp, и поемаме от първото съобщение. [Съобщете за спешен случай сега](https://phpsos.de/bg/notfall/)


## Често задавани въпроси

**Достатъчно ли е да актуализирам WordPress и всички плъгини, ако сайтът е хакнат?**  
Не. Актуализацията затваря уязвимости за в бъдеще, но не премахва задна вратичка, която вече е на сървъра. Към това: уязвимостта в PHP PHP2Shell е в интерпретатора на PHP, а не в WordPress. Според съобщения WordPress.org не планира за нея собствена актуализация.

**Мога ли да възстановя старо резервно копие и да приключа с това?**  
Само с повишено внимание. Който не знае момента на проникването, може вече да възстановява заразени файлове. Освен това входната врата остава отворена, ако никой не я е намерил. Първо запазване, после оценка, после възстановяване.

**По какво да позная невидим администраторски акаунт в WordPress?**  
Някои акаунти не се показват в списъка с потребители, защото зловредният код филтрира изхода. Сверяване директно в базата данни и сравнение с познатите лица показва повече. Това е част от почистването, което поемаме ние.

**Защо зловредният код се появява отново след изтриването?**  
Тогава обикновено има втора задна вратичка или механизъм, който зарежда файловете наново, например планирана задача или манипулирани файлове в необичайни папки. Който изтрива само видимите симптоми, се бори със знака, а не с причината.

**Какво струва, ако Google маркира моя WordPress сайт като опасен?**  
Зависи от обхвата и усилията и може да се каже едва след първа оценка. Разумно е първо да се отстрани причината и после да се поиска проверка от Google.

## Източници

- [WordPress.org](https://wordpress.org/)
- [BSI: Федерална служба за информационна сигурност на Германия](https://www.bsi.bund.de/)
- [Dr. Web: PHP2Shell и версии на PHP](https://www.drweb.de/php2shell-update-php-versionen/)
- [Помощ за Google Search Console](https://support.google.com/webmasters/)