Ukratko: Ako Vaša WordPress stranica prikazuje strani sadržaj, preusmjerava ili je iznenada spora, pođite od najgoreg i javite se odmah. Preuzimamo od prve poruke: osiguravamo tragove, blokiramo pristupe, tražimo stražnja vrata, čistimo stranicu i dokumentiramo incident. Sve na daljinu, bez dolaska.
Sada ništa ne brisati i ništa ne postavljati iznova. Tko uklanja dodatke ili vraća sigurnosnu kopiju prije nego što se išta osigura, uništava tragove provale. Jeste li pogođeni? Nazovite ili pišite putem WhatsAppa, ili izravno koristite Prijavite hitni slučaj.
Je li Vaš WordPress hakiran?
Napad na WordPress ne primjećuje se uvijek. Na kompromitaciju upućuju ovi znakovi:
- posjetitelji se preusmjeravaju na strane stranice, oglase ili lažne web-shopove, često samo s mobitela ili iz tražilica
- u Googleu se u Vaše ime pojavljuju stranice s farmaceutskim, kockarskim ili stranojezičnim tekstovima, vidi SEO spam u Googleovu indeksu
- na nadzornoj ploči postoje administratori koje nitko nije izradio ili se lozinke odjednom više ne mogu resetirati
- u mapi
wp-content/uploadsnalaze se.phpdatoteke koje tamo ne pripadaju (ovako tumačite takva nalazišta) - pojavljuju se dodaci ili teme koje nikada niste instalirali ili sami nestaju
- Vaš pružatelj hostinga javlja slanje spama, veliko opterećenje ili blokira stranicu
- preglednik ili Google prikazuju upozorenje o Vašoj stranici
Više znakova na razini poslužitelja pronaći ćete na stranici Jesam li već kompromitiran?.
Što učiniti odmah
- Stranicu staviti u način održavanja ili je odspojiti s mreže ako su posjetitelji ugroženi. Datoteke pritom ostaviti nepromijenjenima.
- Ništa ne deinstalirati i ne brisati datoteke. Ni dodatke koji djeluju sumnjivo.
- Dati osigurati zapisnike: Zamolite pružatelja hostinga da ne prepisuje zapisnike pristupa i pogrešaka. Stručni tisak savjetuje čuvanje zapisnika poslužitelja od 20. 10. 2026.
- Prikupiti pristupe: Tko ima WordPress administraciju, FTP, SSH, hosting panel i bazu podataka? Zabilježite to, ali lozinke mijenjajte tek nakon dogovora i s čistog uređaja.
- Provjeriti poštanske pretince: Račun koji je u WordPressu naveden kao administratorska adresa može se koristiti za resetiranje lozinki.
- Obavijestiti sudionike: Upravu, službenika za zaštitu podataka i prema potrebi osiguratelja.
- Javite nam se prije nego što nastavite sami intervenirati.
Kako PHP SOS pomaže kod hakirane WordPress stranice?
- Procijeniti situaciju: Razjašnjavamo što vidite, koji dodaci i teme rade, tko je imao pristup i gdje se poslužitelj nalazi.
- Osigurati i zatvoriti: Datoteke, baza podataka i zapisnici se osiguravaju, sumnjivi pristupi blokiraju, a stranica se po potrebi izolira.
- Provjeriti i očistiti: Uspoređujemo jezgrene datoteke s izvornikom (kako se to radi, objašnjava ovaj članak), tražimo stražnja vrata u dodacima, temama, prijenosima i bazi podataka i uklanjamo ih. Postupak odgovara našoj usluzi Uklanjanje malwarea i web shellova.
- Ojačati i izvijestiti: Provjeravaju se stanje PHP-a, prava, zaštita administratora i ažuriranja. Dobivate izvješće s vremenskom crtom, nalazima i preporukama.
WordPress ažuriranje protiv PHP2Shella: zašto nije dovoljno
Mnogi operateri vjeruju da je s najnovijom WordPress verzijom sve riješeno. To nije točno. PHP2Shell, dakle CVE-2026-109618 i CVE-2026-109619, nalazi se u PHP interpreteru na kojem WordPress radi. Ispravljen je u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Prema Dr. Webu WordPress.org za to ne planira vlastito ažuriranje. Odlučujuće je PHP izvršno okruženje na Vašem poslužitelju; više o tome u članku Zašto WordPress ažuriranje ne pomaže i na stranici WordPress i PHP2Shell.
Isto tako vrijedi: PHP zakrpa ne uklanja zlonamjerni kod koji je već ubačen. Oboje se mora provjeriti zajedno.
Stražnja vrata u WordPressu: gdje se skrivaju
Napadači rado ostavljaju pristupe tamo gdje se rijetko gleda: u mu-dodacima, u datotekama teme poput functions.php, u mapama sa slikama s dvostrukom ekstenzijom datoteke, u tablici wp_options ili u zakazanim zadacima WordPressa. Pojedinosti i putove provjere pronaći ćete na stranici Pronalaženje stražnjih vrata u WordPressu. Nakon čišćenja svaki administratorski pristup treba zaštititi dvofaktorskom prijavom.
Ako Google ili preglednik Vašu stranicu označe kao opasnu, prvo otklanjamo uzrok, a zatim pomažemo kod ponovne provjere. Postupak opisuje stranica Uklanjanje Googleova upozorenja.
Kako stranicu ponovno puštamo u rad
WordPress stranica vraća se na mrežu tek kad su jezgrene datoteke, dodaci i tema provjereni, pristupni podaci i ključevi u konfiguraciji obnovljeni i ne postoji nijedan sumnjiv korisnik. Zatim javnu stranicu provjeravamo iz perspektive posjetitelja, i s mobitela, jer se neka preusmjeravanja pojavljuju samo tamo. Nakon toga za sljedećih nekoliko tjedana preporučujemo pojačan nadzor. Obećanja da stranica nikada više neće biti napadnuta nema, ali postoji dokumentirano, provjereno stanje.
Što nam trebate poslati
- adresu stranice i, ako je poznat, pružatelja hostinga
- od kada i po čemu Vam je nešto upalo u oči
- snimke zaslona upozorenja, preusmjeravanja ili tuđih administratorskih računa
- popis dodataka i teme, koliko je poznato
- stanje zadnje sigurnosne kopije
Pristupne podatke molimo ne šaljite e-poštom bez upita; siguran put dogovaramo s Vama.
Zašto PHP SOS
Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu koja Vaš slučaj prati od prve poruke do zaključenja. Radimo na daljinu u cijeloj Njemačkoj i Europi, dokumentiramo svaki korak i obećavamo samo ono što se može ispuniti: radimo dok incident nije zaključen i dokumentiran. Ako bi mogli biti pogođeni osobni podaci, izvješće Vam pomaže i kod prijave prema GDPR-u; pravna procjena ostaje kod Vašeg službenika za zaštitu podataka. Cjelokupnu uslugu opisuje stranica Hakirana web-stranica: hitna pomoć.
Jeste li pogođeni? Nazovite. Pomažemo.
Ako se Vaša WordPress stranica ponaša sumnjivo, ne čekajte sljedeću upadljivost. Javite se odmah, pozivom ili putem WhatsAppa, a preuzimamo od prve poruke. Prijavite hitni slučaj odmah
Česta pitanja
Je li dovoljno ažurirati WordPress i sve dodatke ako je stranica hakirana?
Ne. Ažuriranje zatvara ranjivosti za ubuduće, ali ne uklanja stražnja vrata koja se već nalaze na poslužitelju. Uz to: PHP ranjivost PHP2Shell nalazi se u PHP interpreteru, a ne u WordPressu. Prema izvješćima WordPress.org za to ne planira vlastito ažuriranje.
Mogu li vratiti staru sigurnosnu kopiju i time završiti?
Samo uz oprez. Tko ne zna vrijeme provale, možda vraća već zaražene datoteke. Osim toga ulaz ostaje otvoren ako ga nitko nije pronašao. Prvo osigurati, zatim procijeniti, zatim vratiti.
Po čemu prepoznajem nevidljiv administratorski račun u WordPressu?
Neki se računi ne prikazuju na popisu korisnika jer zlonamjerni kod filtrira izlaz. Više pokazuju usporedba izravno u bazi podataka i usporedba s poznatim osobama. To spada u čišćenje koje preuzimamo.
Zašto se zlonamjerni kod nakon brisanja stalno vraća?
Tada obično postoje druga stražnja vrata ili mehanizam koji ponovno učitava datoteke, primjerice zakazani zadatak ili manipulirane datoteke u neuobičajenim mapama. Tko briše samo vidljive simptome, bori se protiv znaka, a ne uzroka.
Koliko košta ako Google moju WordPress stranicu označi kao opasnu?
To ovisi o opsegu i trudu i može se reći tek nakon prve procjene. Smisleno je prvo otkloniti uzrok, a zatim zatražiti ponovnu provjeru kod Googlea.