Īsi: ja jūsu WordPress vietne rāda svešu saturu, pāradresē vai pēkšņi kļūst lēna, pieņemiet, ka tas ir nopietns gadījums, un sazinieties ar mums tagad. Mēs uzņemamies darbu no pirmās ziņas: saglabājam pēdas, bloķējam piekļuves, meklējam slēptās piekļuves, attīrām vietni un dokumentējam incidentu. Viss attālināti, bez ierašanās.
Tagad neko neizdzēsiet un neuzstādiet no jauna. Kas noņem spraudņus vai atjauno rezerves kopiju, pirms nav veikta saglabāšana, iznīcina ielaušanās pēdas. Vai esat skarti? Zvaniet vai rakstiet WhatsApp, vai izmantojiet tieši Pieteikt ārkārtas gadījumu.
Vai jūsu WordPress ir uzlauzts?
Uzbrukums WordPress ne vienmēr ir pamanāms. Uz kompromitāciju norāda šādas pazīmes:
- Apmeklētāji tiek pāradresēti uz svešām lapām, reklāmu vai viltotiem veikaliem, bieži tikai no mobilā tālruņa vai no meklētājprogrammām
- Google parādās lapas jūsu vārdā ar farmācijas, azartspēļu vai svešvalodu tekstiem, skatiet SEO spams Google indeksā
- vadības panelī ir administratori, ko neviens nav izveidojis, vai paroles pēkšņi vairs nevar atiestatīt
- mapē
wp-content/uploadsatrodas.phpfaili, kuriem tur nav vietas (kā šādus atradumus izvērtēt) - parādās spraudņi vai motīvi, ko nekad neesat instalējuši, vai tie paši pazūd
- jūsu hostinga sniedzējs ziņo par surogātpasta sūtīšanu, augstu slodzi vai bloķē lapu
- pārlūkprogramma vai Google rāda brīdinājumu par jūsu lapu
Vairāk pazīmju servera līmenī ir lapā Vai mani jau ir uzlauzuši?.
Ko darīt tūlīt
- Pārslēgt vietni uz apkopes režīmu vai atvienot no tīkla, ja apmeklētāji ir apdraudēti. Faili pie tam jāatstāj nemainīti.
- Neko nenoņemt un neizdzēst failus. Arī spraudņus ne, kas šķiet aizdomīgi.
- Likt saglabāt žurnālus: Palūdziet savu hostinga sniedzēju nepārrakstīt piekļuves un kļūdu žurnālus. Speciālistu prese iesaka saglabāt servera žurnālus no 2026. gada 20. oktobra.
- Apkopot piekļuves: Kam ir WordPress administratora, FTP, SSH, hostinga paneļa un datubāzes piekļuve? Pierakstiet to, bet paroles mainiet tikai pēc saskaņošanas un no tīras ierīces.
- Pārbaudīt pasta kastītes: Konts, kas WordPress norādīts kā administratora adrese, var tikt izmantots paroļu atiestatīšanai.
- Informēt iesaistītos: Vadību, datu aizsardzības speciālistu un, ja nepieciešams, apdrošinātāju.
- Sazinieties ar mums, pirms turpināt iejaukties paši.
Kā PHP SOS palīdz uzlauztai WordPress vietnei?
- Situācijas attēls: Mēs noskaidrojam, ko redzat, kādi spraudņi un motīvi darbojas, kam bija piekļuve un kur atrodas serveris.
- Saglabāt un aizvērt: Faili, datubāze un žurnāli tiek saglabāti, aizdomīgās piekļuves bloķētas, vietne vajadzības gadījumā norobežota.
- Pārbaudīt un attīrīt: Mēs salīdzinām kodola failus ar oriģinālu (kā tas notiek, paskaidro šis raksts), meklējam slēptās piekļuves spraudņos, motīvos, augšupielādēs un datubāzē un noņemam tās. Rīcība atbilst mūsu pakalpojumam Ļaunprogrammatūras un webshell noņemšana.
- Nostiprināt un ziņot: Tiek pārbaudīts PHP stāvoklis, tiesības, administratora aizsardzība un atjauninājumi. Jūs saņemat ziņojumu ar laika joslu, atradumiem un ieteikumiem.
WordPress atjauninājums pret PHP2Shell: kāpēc ar to nepietiek
Daudzi operatori uzskata, ka ar jaunāko WordPress versiju viss ir kārtībā. Tas nav tā. PHP2Shell, tas ir, CVE-2026-109618 un CVE-2026-109619, atrodas PHP interpretatorā, uz kura darbojas WordPress. Labota tā ir PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Saskaņā ar Dr. Web WordPress.org tam neplāno savu atjauninājumu. Izšķiroša ir PHP izpildes vide jūsu serverī; vairāk par to rakstā Kāpēc WordPress atjauninājums nepalīdz un lapā WordPress un PHP2Shell.
Tāpat ir spēkā: PHP ielāps nenoņem ļaunprātīgu kodu, kas jau ir ievadīts. Abi jāpārbauda kopā.
Slēptās piekļuves WordPress: kur tās slēpjas
Uzbrucēji piekļuves labprāt novieto tur, kur reti skatās: mu-plugins, motīvu failos, piemēram, functions.php, attēlu mapēs ar dubultu faila paplašinājumu, tabulā wp_options vai WordPress ieplānotajos uzdevumos. Detaļas un pārbaudes ceļi ir lapā Backdoor atrašana WordPress. Pēc attīrīšanas katra administratora piekļuve jānodrošina ar divu faktoru autentifikāciju.
Ja Google vai pārlūkprogramma jūsu vietni atzīmē kā bīstamu, mēs vispirms novēršam cēloni un pēc tam palīdzam ar pārbaudi. Rīcību apraksta Google brīdinājuma noņemšana.
Kā mēs vietni atkal atbrīvojam
WordPress vietne atgriežas tīklā tikai tad, kad kodola faili, spraudņi un motīvs ir pārbaudīti, piekļuves dati un atslēgas konfigurācijā ir atjaunoti un vairs nepastāv neviens aizdomīgs lietotājs. Pēc tam publisko lapu pārbaudām no apmeklētāja skatpunkta, arī no mobilā tālruņa, jo dažas pāradresācijas parādās tikai tur. Pēc tam nākamajām nedēļām iesakām ciešāku kontroli. Apsolījuma, ka vietnei nekad vairs netiks uzbrukts, nav, bet ir dokumentēts, pārbaudīts stāvoklis.
Ko jums vajadzētu mums nosūtīt
- vietnes adrese un, ja zināms, hostinga sniedzējs
- kopš kura laika un pēc kā jūs kaut ko pamanījāt
- brīdinājumu, pāradresāciju vai svešu administratora kontu ekrānuzņēmumi
- spraudņu un motīva saraksts, ciktāl zināms
- pēdējās rezerves kopijas stāvoklis
Lūdzu, nesūtiet piekļuves datus pa e-pastu bez pieprasījuma; drošo ceļu saskaņosim ar jums.
Kāpēc PHP SOS
Mēs strādājam pēc principa Made in Germany un jau vairāk nekā 25 gadus kopā ar savu kiberspeciālistu partneru tīklu esam specializējušies IT drošībā. Jums ir viena kontaktpersona, kas jūsu gadījumu pavada no pirmās ziņas līdz noslēgumam. Mēs strādājam attālināti visā Vācijā un Eiropā, dokumentējam katru soli un solām tikai to, ko var izpildīt: strādājam, līdz incidents ir noslēgts un dokumentēts. Ja varētu būt skarti personas dati, ziņojums palīdz arī VDAR paziņojumā; juridisko vērtējumu sniedz jūsu datu aizsardzības speciālists. Kopējo pakalpojumu apraksta lapa Vietne uzlauzta: ārkārtas palīdzība.
Vai esat skarti? Zvaniet. Mēs palīdzam.
Ja jūsu WordPress vietne uzvedas aizdomīgi, negaidiet nākamo neparasto parādību. Sazinieties ar mums tagad, zvanot vai rakstot WhatsApp, un mēs uzņemamies darbu no pirmās ziņas. Pieteikt ārkārtas gadījumu tagad
Biežāk uzdotie jautājumi
Vai pietiek ar WordPress un visu spraudņu atjaunināšanu, ja vietne ir uzlauzta?
Nē. Atjauninājums aizver ievainojamības nākotnei, bet nenoņem slēptu piekļuvi, kas jau atrodas serverī. Turklāt PHP ievainojamība PHP2Shell atrodas PHP interpretatorā, nevis WordPress. Saskaņā ar ziņojumiem WordPress.org tam neplāno savu atjauninājumu.
Vai varu atjaunot vecu rezerves kopiju un ar to pietiek?
Tikai piesardzīgi. Kas nezina ielaušanās laiku, var atjaunot jau inficētus failus. Turklāt ielaušanās vārti paliek atvērti, ja neviens tos nav atradis. Vispirms saglabāt, tad izvērtēt, tad atjaunot.
Kā atpazīt neredzamu administratora kontu WordPress?
Daži konti netiek rādīti lietotāju sarakstā, jo ļaunprātīgs kods filtrē izvadi. Vairāk parāda salīdzinājums tieši datubāzē un salīdzināšana ar zināmajām personām. Tas ietilpst attīrīšanā, ko mēs uzņemamies.
Kāpēc ļaunprātīgais kods pēc izdzēšanas atkal parādās?
Tad parasti ir otra slēpta piekļuve vai mehānisms, kas ielādē failus no jauna, piemēram, ieplānots uzdevums vai manipulēti faili neparastās mapēs. Kas dzēš tikai redzamos simptomus, cīnās ar pazīmi, nevis ar cēloni.
Cik tas izmaksā, ja Google manu WordPress vietni atzīmē kā bīstamu?
Tas atkarīgs no apjoma un darba apjoma, un to var pateikt tikai pēc pirmā vērtējuma. Lietderīgi ir vispirms novērst cēloni un tikai tad pieprasīt pārbaudi Google.