Krótko: Jeśli Państwa strona WordPress pokazuje obce treści, przekierowuje lub nagle zwolniła, proszę założyć najgorszy scenariusz i zgłosić się teraz. Od pierwszej wiadomości przejmujemy sprawę: zabezpieczamy ślady, blokujemy dostępy, szukamy tylnych drzwi, oczyszczamy stronę i dokumentujemy incydent. Wszystko zdalnie, bez dojazdu.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Kto usuwa wtyczki lub przywraca kopię zapasową, zanim wszystko zostanie zabezpieczone, niszczy ślady włamania. Czy są Państwo dotknięci? Proszę zadzwonić lub napisać na WhatsApp albo skorzystać bezpośrednio z Zgłoś awarię.
Czy Państwa WordPress jest zhakowany?
Atak na WordPress nie zawsze rzuca się w oczy. Na skompromitowanie wskazują te oznaki:
- odwiedzający są przekierowywani na obce strony, do reklam lub fałszywych sklepów, często tylko z telefonu lub z wyszukiwarek
- w Google pojawiają się strony w Państwa imieniu z tekstami farmaceutycznymi, o hazardzie lub w obcych językach, zob. Spam SEO w indeksie Google
- w panelu są administratorzy, których nikt nie utworzył, albo hasła nagle nie dają się zresetować
- w folderze
wp-content/uploadsleżą pliki.php, które nie powinny tam być (jak interpretować takie znaleziska) - pojawiają się wtyczki lub motywy, których Państwo nigdy nie instalowali, albo same znikają
- Państwa hostingodawca zgłasza wysyłanie spamu, duże obciążenie lub blokuje stronę
- przeglądarka lub Google pokazują ostrzeżenie przed Państwa stroną
Więcej oznak na poziomie serwera znajduje się w artykule Czy już doszło do naruszenia?.
Co należy zrobić teraz
- Przełączyć stronę w tryb konserwacji lub odłączyć od sieci, jeśli zagrożeni są odwiedzający. Pliki pozostawić przy tym bez zmian.
- Niczego nie odinstalowywać i nie usuwać plików. Także wtyczek, które wydają się podejrzane.
- Zlecić zabezpieczenie logów: Proszę poprosić hostingodawcę, aby nie nadpisywał dzienników dostępu i błędów. Prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026.
- Zebrać dostępy: Kto ma administratora WordPressa, FTP, SSH, panel hostingu i bazę danych? Proszę to zanotować, ale hasła zmieniać dopiero po uzgodnieniu i z czystego urządzenia.
- Sprawdzić skrzynki pocztowe: Konto zapisane w WordPressie jako adres administratora może posłużyć do resetowania haseł.
- Poinformować zainteresowanych: Zarząd, inspektora ochrony danych i ewentualnie ubezpieczyciela.
- Skontaktować się z nami, zanim będą Państwo dalej interweniować na własną rękę.
Jak PHP SOS pomaga przy zhakowanej stronie WordPress?
- Ocena sytuacji: Wyjaśniamy, co Państwo widzą, jakie wtyczki i motywy działają, kto miał dostęp i gdzie znajduje się serwer.
- Zabezpieczenie i zamknięcie: Pliki, baza danych i logi są zabezpieczane, podejrzane dostępy blokowane, a strona w razie potrzeby odizolowana.
- Sprawdzenie i oczyszczenie: Porównujemy pliki rdzenia z oryginałem (jak to zrobić, wyjaśnia ten wpis), szukamy tylnych drzwi we wtyczkach, motywach, uploadach i bazie danych i je usuwamy. Postępowanie odpowiada naszej usłudze Usuwanie malware i webshelli.
- Wzmocnienie i raport: Sprawdzamy stan PHP, uprawnienia, ochronę panelu administratora i aktualizacje. Otrzymują Państwo raport z osią czasu, znaleziskami i zaleceniami.
Aktualizacja WordPressa a PHP2Shell: dlaczego to nie wystarcza
Wielu operatorów wierzy, że z najnowszą wersją WordPressa wszystko jest załatwione. To nieprawda. PHP2Shell, czyli CVE-2026-109618 i CVE-2026-109619, tkwi w interpreterze PHP, na którym działa WordPress. Naprawiono to w PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Według Dr. Web WordPress.org nie planuje w tej sprawie własnej aktualizacji. Decydujące jest środowisko uruchomieniowe PHP na Państwa serwerze; więcej w artykule Dlaczego aktualizacja WordPressa nie pomaga oraz na stronie WordPress i PHP2Shell.
Podobnie: poprawka PHP nie usuwa złośliwego kodu, który został już wprowadzony. Jedno i drugie trzeba sprawdzić łącznie.
Tylne drzwi w WordPressie: gdzie się ukrywają
Atakujący chętnie umieszczają dostępy tam, gdzie rzadko się zagląda: we wtyczkach typu mu-plugins, w plikach motywu, takich jak functions.php, w folderach z obrazami z podwójnym rozszerzeniem pliku, w tabeli wp_options lub w zaplanowanych zadaniach WordPressa. Szczegóły i sposoby sprawdzania znajdą Państwo w artykule Wyszukiwanie backdoorów w WordPressie. Po oczyszczeniu każdy dostęp administratora należy zabezpieczyć uwierzytelnianiem dwuskładnikowym.
Jeśli Państwa strona zostanie oznaczona przez Google lub przeglądarkę jako niebezpieczna, najpierw usuwamy przyczynę, a następnie wspieramy przy weryfikacji. Postępowanie opisuje artykuł Usunięcie ostrzeżenia Google.
Jak ponownie udostępniamy stronę
Strona WordPress wraca do sieci dopiero wtedy, gdy pliki rdzenia, wtyczki i motyw zostały sprawdzone, dane dostępowe i klucze w konfiguracji wymienione, a żaden podejrzany użytkownik już nie istnieje. Następnie sprawdzamy publiczną stronę z perspektywy odwiedzającego, także z telefonu, ponieważ niektóre przekierowania występują tylko tam. Potem zalecamy na kolejne tygodnie ściślejszą kontrolę. Nie ma zapewnienia, że strona nigdy więcej nie zostanie zaatakowana, jest natomiast udokumentowany, sprawdzony stan.
Co warto nam przesłać
- adres strony oraz, jeśli znany, hostingodawcę
- od kiedy i po czym Państwo coś zauważyli
- zrzuty ekranu ostrzeżeń, przekierowań lub obcych kont administratorów
- listę wtyczek i motywu, o ile znana
- stan ostatniej kopii zapasowej
Danych dostępowych proszę nie wysyłać e-mailem bez prośby; bezpieczną drogę uzgodnimy z Państwem.
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, która prowadzi sprawę od pierwszej wiadomości do zakończenia. Pracujemy zdalnie w całych Niemczech i w Europie, dokumentujemy każdy krok i obiecujemy tylko to, co da się dotrzymać: pracujemy, aż incydent zostanie zakończony i udokumentowany. Jeśli mogły zostać dotknięte dane osobowe, raport pomoże Państwu także przy zgłoszeniu według RODO; ocena prawna pozostaje w gestii Państwa inspektora ochrony danych. Całość usługi opisuje strona Strona zhakowana: pomoc awaryjna.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Jeśli Państwa strona WordPress zachowuje się podejrzanie, proszę nie czekać na kolejną nieprawidłowość. Proszę zgłosić się teraz, telefonicznie lub przez WhatsApp, a przejmiemy sprawę od pierwszej wiadomości. Zgłoś awarię teraz
Częste pytania
Czy wystarczy zaktualizować WordPress i wszystkie wtyczki, jeśli strona została zhakowana?
Nie. Aktualizacja zamyka luki na przyszłość, ale nie usuwa tylnych drzwi, które już leżą na serwerze. Dochodzi do tego: luka PHP2Shell tkwi w interpreterze PHP, a nie w WordPressie. Według doniesień WordPress.org nie planuje w tej sprawie własnej aktualizacji.
Czy mogę wgrać starą kopię zapasową i mieć sprawę z głowy?
Tylko z ostrożnością. Kto nie zna momentu włamania, może przywrócić już zainfekowane pliki. Poza tym wejście pozostaje otwarte, jeśli nikt go nie znalazł. Najpierw zabezpieczyć, potem ocenić, potem przywracać.
Po czym poznać niewidoczne konto administratora w WordPressie?
Niektóre konta nie są wyświetlane na liście użytkowników, ponieważ złośliwy kod filtruje wynik. Więcej pokaże porównanie bezpośrednio w bazie danych i zestawienie ze znanymi osobami. To część oczyszczania, którą przejmujemy.
Dlaczego złośliwy kod po usunięciu ciągle się pojawia?
Zwykle istnieje wtedy druga tylna furtka lub mechanizm doładowujący pliki, na przykład zaplanowane zadanie albo zmanipulowane pliki w nietypowych folderach. Kto usuwa tylko widoczne objawy, zwalcza znak, a nie przyczynę.
Ile kosztuje sytuacja, gdy Google oznaczy moją stronę WordPress jako niebezpieczną?
Zależy to od zakresu i nakładu pracy i można to powiedzieć dopiero po pierwszej ocenie. Rozsądnie jest najpierw usunąć przyczynę, a dopiero potem złożyć wniosek o ponowną weryfikację w Google.