# Pronalaženje WordPress backdoora: sustavno otkrivanje stražnjih vrata

> Pronađite WordPress backdoor: provjerite jezgru i dodatke uz WP-CLI, pregledajte admin račune, mu-plugins, uploade i bazu te sigurno zatvorite stražnja vrata.

Izvor: https://phpsos.de/hr/ratgeber/backdoor-wordpress-finden/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** WordPress backdoor najbrže ćete pronaći tako da jezgru i dodatke uz WP-CLI usporedite sa službenim kontrolnim zbrojevima, a zatim ciljano pregledate mu-plugins, uploade, `wp-config.php`, admin račune i bazu podataka. Važno nakon PHP2Shella: WordPress ažuriranje ne zatvara PHP ranjivost i ne uklanja postojeća stražnja vrata.

## Zašto bi operateri WordPressa sada trebali pogledati pozornije

PHP2Shellom su u listopadu 2026. postale poznate dvije kritične ranjivosti u samom PHP-u, CVE-2026-109618 i CVE-2026-109619. Omogućuju izvršavanje zlonamjernog koda bez prijave, neovisno o tome koliko je uredno održavana Vaša WordPress instalacija. Zakrpe postoje od 21.10.2026., a prema medijskim izvješćima prvi pokušaj napada opažen je već 17.10.

Tko je u tom razdoblju bio ranjiv, trebao bi tražiti tragove. WordPress je pritom tipična meta jer su mnoge instalacije slično građene, a napadači poznaju skrovišta. Što operateri općenito trebaju učiniti u vezi s PHP2Shellom, navedeno je na stranici [WordPress i PHP2Shell](https://phpsos.de/hr/plattformen/wordpress/).

Sljedeće provjere po mogućnosti provedite na kopiji ili nakon sigurnosne kopije. Naredbe samo čitaju i ništa ne mijenjaju.

## Po čemu u svakodnevici primijetiti backdoor

Stražnja vrata osmišljena su da ostanu nenametljiva. Ipak postoje znakovi koji se primijete i bez tehničkog znanja. Tu spadaju preusmjeravanja na strane stranice koja se pojavljuju samo posjetiteljima iz Google pretrage ili samo na mobilnim uređajima. Sumnjive su i nove stranice s reklamama za lijekove, kockanje ili kopije robnih marki, koje se pojavljuju u indeksu pretraživača, ali ne u WordPress backendu.

Dodatne naznake su upozorenja Googlea ili preglednika, pritužbe klijenata na spam e-poruke s Vaše domene, naglo jako povećana potrošnja računalnog vremena kod pružatelja hostinga ili administratori koje nitko u timu ne poznaje. Nijedan od tih znakova sam po sebi ne dokazuje backdoor. Ako se pojavi više njih zajedno, sljedeće provjere ne odgađajte.

Obrnuto vrijedi: ako ništa od toga ne upada u oči, to ne znači da je instalacija čista. Upravo stražnja vrata postavljena samo za kasniji pristup prema van često uopće ne pokazuju učinak.

## Pronalaženje WordPress backdoora: provjera jezgre i dodataka

WP-CLI može datoteke WordPress jezgre i dodataka iz službenog direktorija usporediti s objavljenim kontrolnim zbrojevima. Svako odstupanje konkretan je zadatak za provjeru.

```bash
cd /var/www/meine-seite
# Datoteke jezgre prema službenim kontrolnim zbrojevima
wp core verify-checksums
# Dodaci iz službenog direktorija
wp plugin verify-checksums --all
# Instalirane verzije i status
wp plugin list
wp theme list
```

Komercijalni dodaci i teme na ovaj se način ne mogu provjeriti. Za njih pomaže samo usporedba sa svježe preuzetim izvornim paketom proizvođača. Nepoznati dodaci koje nitko u timu nije instalirao uvijek su sumnjivi, čak i ako djeluju deaktivirano.

## Tipična skrovišta u datotečnom sustavu

Nekoliko se mjesta uvijek iznova pojavljuje kod kompromitiranih WordPress instalacija:

- `wp-content/mu-plugins/`: učitava se automatski i ne pojavljuje se na uobičajenom popisu dodataka.
- `wp-content/uploads/`: tamo pripadaju slike i dokumenti, a ne PHP datoteke.
- `wp-config.php`: dodatni retci `include` ili `require` na početku ili kraju.
- `.htaccess` i `.user.ini` u web-direktoriju i podmapama: neočekivana preusmjeravanja ili automatski predučitane datoteke.
- Datoteke u glavnom direktoriju čija imena podsjećaju na datoteke WordPress jezgre, ali im ne pripadaju.

```bash
# PHP datoteke u mapi za upload
find wp-content/uploads -type f -name "*.php*"
# Sadržaj Must-Use dodataka
ls -la wp-content/mu-plugins/
# Sve .htaccess i .user.ini datoteke s datumom izmjene
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Nedavno izmijenjene PHP datoteke
find . -type f -name "*.php" -newermt "2026-10-17" -ls
```

Opće obrasce pretraživanja zamaskiranog koda opisuje vodič [Prepoznavanje i uklanjanje webshellova](https://phpsos.de/hr/ratgeber/webshell-erkennen/).

## Provjera korisnika, baze podataka i planiranih zadataka

Mnoga stražnja vrata uopće nisu u datotečnom sustavu. Dodatni administratorski račun napadačima često je dovoljan da se kasnije vrate.

```bash
# Svi administratori s datumom registracije
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Planirani zadaci u WordPressu
wp cron event list
# Adresa stranice (manipulacije dovode do preusmjeravanja)
wp option get siteurl
wp option get home
# Objave s ugrađenim skriptama
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
```

Provjerite i opcije neobično velikog sadržaja te widgete sa stranim kodom. Pogoci automatski ne znače napad jer i kodovi za praćenje ili ugrađene karte koriste skripte. Odlučujuće je poznaje li netko u timu taj sadržaj.

> **Važno:**
> Nakon pronalaska promijenite sve lozinke i sigurnosne ključeve u `wp-config.php`. Inače postojeće prijave napadača ostaju važeće.

## Zatvaranje stražnjih vrata i sprječavanje povratka

Ako ste pronašli backdoor, nova instalacija obično je sigurnija od popravljanja pojedinih datoteka. Ovaj se redoslijed pokazao dobrim:

1. Osigurajte tragove: pohranite logove, sumnjive datoteke i izvoz baze podataka s datumom.
2. Dovedite PHP na ispravljeno stanje i ponovno pokrenite sve PHP procese.
3. Jezgru WordPressa, dodatke i teme instalirajte svježe iz izvornih izvora.
4. Uploade i bazu podataka preuzmite provjerene, obrišite strane račune, promijenite sve pristupe.
5. Onemogućite izvršavanje PHP-a u mapi za upload na razini poslužitelja.

Za Nginx je za to dovoljan blok u konfiguraciji poslužitelja:

```nginx
location ~* ^/wp-content/uploads/.*\.php$ {
    deny all;
}
```

Na Apacheu isto postižete pravilom u konfiguraciji poslužitelja za mapu uploada. `.htaccess` u samoj mapi uploada slabiji je jer ga napadač s pravima pisanja može ponovno promijeniti.

Nakon čišćenja planirajte nekoliko tjedana pomnijeg nadzora. Novi administratori, nove PHP datoteke i promjene u `wp-config.php` u tom bi se razdoblju trebali odmah uočiti, primjerice redovitom provjerom putem WP-CLI-ja ili nadzorom datoteka na poslužitelju.

Kako zatim postaviti prava datoteka tako da WordPress smije pisati samo tamo gdje je nužno, pokazuje vodič [Prava datoteka na web-poslužitelju](https://phpsos.de/hr/ratgeber/dateirechte-webserver/).

## Kako PHP SOS konkretno pomaže?

- Osiguravamo stanje instalacije prije nego se išta promijeni.
- Provjeravamo jezgru, dodatke, teme, bazu podataka, račune i konfiguraciju poslužitelja na stražnja vrata.
- WordPress postavljamo iznova iz čistih izvora i preuzimamo samo provjerene sadržaje.
- Ojačavamo poslužitelj i instalaciju te dokumentiramo što je pronađeno i otklonjeno.

Tijek čišćenja opisuje usluga [Uklanjanje zlonamjernog softvera i webshellova](https://phpsos.de/hr/leistungen/malware-entfernung/).


## Česta pitanja

**Zatvara li WordPress ažuriranje PHP2Shell ranjivost?**  
Ne. PHP2Shell je u PHP interpreteru, a ne u WordPressu. Ažuriranje WordPressa, tema ili dodataka tu ništa ne mijenja; presudno je stanje PHP-a na poslužitelju i ponovno pokretanje svih PHP procesa.

**Pronalazi li sigurnosni dodatak sve backdoore?**  
Ne pouzdano. Dodatak radi unutar kompromitirane instalacije i sam može biti manipuliran. Dopunite ga provjerama izvana, primjerice kontrolnim zbrojevima putem WP-CLI-ja i usporedbom s čistim izvornim datotekama.

**Što su mu-plugins i zašto su sumnjivi?**  
Must-Use dodaci u mapi wp-content/mu-plugins učitavaju se automatski i ne pojavljuju se na uobičajenom popisu dodataka. Napadači to rado koriste jer operateri rijetko gledaju tu mapu.

**Može li backdoor biti i u bazi podataka?**  
Da. Zlonamjerni kod ili preusmjeravanja često se pohranjuju u opcijama, objavama ili widgetima. Uz to napadači često stvaraju vlastite administratorske račune, koje ćete naći u tablici korisnika.

## Izvori

- [WordPress.org](https://wordpress.org/)
- [php.net: sigurnosne objave](https://www.php.net/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)