# Nájsť backdoor vo WordPresse: systematické vypátranie backdoorov

> Nájsť backdoor vo WordPresse: overiť jadro a pluginy cez WP-CLI, skontrolovať admin účty, mu-plugins, uploady a databázu a bezpečne zatvoriť backdoory.

Zdroj: https://phpsos.de/sk/ratgeber/backdoor-wordpress-finden/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Backdoor vo WordPresse nájdete najrýchlejšie tak, že jadro a pluginy porovnáte cez WP-CLI s oficiálnymi kontrolnými súčtami a potom cielene prejdete mu-plugins, uploady, `wp-config.php`, administrátorské účty a databázu. Dôležité po PHP2Shell: aktualizácia WordPressu zraniteľnosť PHP neuzatvorí a existujúci backdoor neodstráni.

## Prečo by sa mali prevádzkovatelia WordPressu teraz pozrieť dôkladnejšie

S PHP2Shell sa v októbri 2026 stali známymi dve kritické zraniteľnosti v samotnom PHP, CVE-2026-109618 a CVE-2026-109619. Umožňujú vykonanie škodlivého kódu bez prihlásenia, bez ohľadu na to, ako dobre je spravovaná vaša inštalácia WordPressu. Záplaty existujú od 21. 10. 2026, podľa správ médií sa však prvý pokus o útok pozoroval už 17. 10.

Kto bol v tomto období zraniteľný, mal by hľadať stopy. WordPress je pritom typický cieľ, pretože mnohé inštalácie sú postavené podobne a útočníci poznajú skrýše. Čo majú prevádzkovatelia k téme PHP2Shell vo všeobecnosti robiť, nájdete na stránke [WordPress a PHP2Shell](https://phpsos.de/sk/plattformen/wordpress/).

Nasledujúce kontroly vykonajte podľa možnosti na kópii alebo po zálohe. Príkazy iba čítajú a nič nemenia.

## Podľa čoho backdoor v bežnej prevádzke spoznáte

Backdoor je navrhnutý tak, aby zostal nenápadný. Napriek tomu existujú príznaky, ktoré si všimnete aj bez technických znalostí. Patria k nim presmerovania na cudzie stránky, ktoré sa objavujú len u návštevníkov z vyhľadávania Google alebo len na mobilných zariadeniach. Rovnako podozrivé sú nové stránky s reklamou na lieky, hazardné hry alebo kópie značkových produktov, ktoré sa objavujú v indexe vyhľadávača, ale nie v backende WordPressu.

Ďalšími indíciami sú varovania od Google alebo prehliadača, sťažnosti zákazníkov na spamové e-maily z vašej domény, náhle výrazne vyššia spotreba výpočtového času u poskytovateľa hostingu alebo administrátori, ktorých nikto v tíme nepozná. Žiadny z týchto znakov sám o sebe backdoor nedokazuje. Ak sa vyskytne viac naraz, nasledujúce kontroly neodkladajte.

Naopak platí: ak si nič z toho nevšimnete, neznamená to, že je inštalácia čistá. Práve backdoory založené iba pre neskorší prístup navonok často nevykazujú žiadny účinok.

## Nájsť backdoor vo WordPresse: overiť jadro a pluginy

WP-CLI dokáže súbory jadra WordPressu a pluginov z oficiálneho adresára porovnať so zverejnenými kontrolnými súčtami. Každá odchýlka je konkrétnou úlohou na preverenie.

```bash
cd /var/www/meine-seite
# Súbory jadra voči oficiálnym kontrolným súčtom
wp core verify-checksums
# Pluginy z oficiálneho adresára
wp plugin verify-checksums --all
# Nainštalované verzie a stav
wp plugin list
wp theme list
```

Komerčné pluginy a témy sa takto overiť nedajú. Pri nich pomôže iba porovnanie s čerstvo stiahnutým originálnym balíkom poskytovateľa. Neznáme pluginy, ktoré nikto v tíme neinštaloval, sú vždy podozrivé, aj keď sa zdajú deaktivované.

## Typické skrýše v súborovom systéme

Niektoré miesta sa pri kompromitovaných inštaláciách WordPressu opakujú:

- `wp-content/mu-plugins/`: načítava sa automaticky a nezobrazuje sa v bežnom zozname pluginov.
- `wp-content/uploads/`: tam patria obrázky a dokumenty, nie súbory PHP.
- `wp-config.php`: ďalšie riadky `include` alebo `require` na začiatku alebo na konci.
- `.htaccess` a `.user.ini` vo webovom adresári a v podpriečinkoch: neočakávané presmerovania alebo automaticky predpripravené súbory.
- Súbory v hlavnom adresári, ktorých názvy pripomínajú jadrové súbory WordPressu, ale nepatria k nemu.

```bash
# Súbory PHP v priečinku s uploadmi
find wp-content/uploads -type f -name "*.php*"
# Obsah Must-Use pluginov
ls -la wp-content/mu-plugins/
# Všetky súbory .htaccess a .user.ini s dátumom zmeny
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Nedávno zmenené súbory PHP
find . -type f -name "*.php" -newermt "2026-10-17" -ls
```

Všeobecné vzory vyhľadávania pre zahmlený kód popisuje príručka [Rozpoznať webshell a odstrániť ju](https://phpsos.de/sk/ratgeber/webshell-erkennen/).

## Skontrolovať používateľov, databázu a plánované úlohy

Mnohé backdoory vôbec neležia v súborovom systéme. Ďalší administrátorský účet často útočníkom stačí, aby sa neskôr vrátili.

```bash
# Všetci administrátori s dátumom registrácie
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Plánované úlohy vo WordPresse
wp cron event list
# Adresa stránky (manipulácie vedú k presmerovaniam)
wp option get siteurl
wp option get home
# Príspevky s vloženými skriptmi
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
```

Skontrolujte aj nastavenia s nezvyčajne veľkým obsahom a widgety s cudzím kódom. Nálezy automaticky neznamenajú útok, pretože skripty používajú aj sledovacie kódy alebo vložené mapy. Rozhodujúce je, či obsah niekto v tíme pozná.

> **Dôležité:**
> Po nájdení vymeňte všetky heslá a bezpečnostné kľúče v `wp-config.php`. Inak zostanú existujúce prihlásenia útočníkov platné.

## Zatvoriť backdoory a zabrániť návratu

Ak ste backdoor našli, nová inštalácia je zvyčajne bezpečnejšia než opravovanie jednotlivých súborov. Osvedčilo sa toto poradie:

1. Zabezpečiť stopy: uložiť logy, podozrivé súbory a export databázy s dátumom.
2. PHP dostať na opravený stav a reštartovať všetky procesy PHP.
3. Jadro WordPressu, pluginy a témy nainštalovať čerstvo z originálnych zdrojov.
4. Uploady a databázu prevziať po kontrole, cudzie účty zmazať, vymeniť všetky prístupy.
5. Spúšťanie PHP v priečinku s uploadmi zakázať na úrovni servera.

Pre Nginx na to stačí blok v konfigurácii servera:

```nginx
location ~* ^/wp-content/uploads/.*\.php$ {
    deny all;
}
```

Pri Apache dosiahnete to isté pravidlom v konfigurácii servera pre priečinok s uploadmi. Súbor `.htaccess` priamo v priečinku s uploadmi je slabší, pretože ho útočník s právami na zápis môže opäť zmeniť.

Po vyčistení počítajte s niekoľkými týždňami prísnejšieho sledovania. Noví administrátori, nové súbory PHP a zmeny v `wp-config.php` by mali v tomto čase okamžite zaujať, napríklad pravidelnou kontrolou cez WP-CLI alebo monitorovaním súborov na serveri.

Ako následne nastaviť práva k súborom tak, aby mohol WordPress zapisovať iba tam, kde je to nevyhnutné, ukazuje príručka [Práva k súborom na webovom serveri](https://phpsos.de/sk/ratgeber/dateirechte-webserver/).

## Ako konkrétne pomáha PHP SOS?

- Stav inštalácie zabezpečíme skôr, než sa niečo zmení.
- Jadro, pluginy, témy, databázu, účty a konfiguráciu servera skontrolujeme na backdoory.
- WordPress nasadíme odznova z čistých zdrojov a prevezmeme iba preverený obsah.
- Server a inštaláciu spevníme a zdokumentujeme, čo sa našlo a odstránilo.

Priebeh vyčistenia popisuje služba [Nechať odstrániť malvér a webshelly](https://phpsos.de/sk/leistungen/malware-entfernung/).


## Časté otázky

**Uzatvorí aktualizácia WordPressu zraniteľnosť PHP2Shell?**  
Nie. PHP2Shell sídli v interpreteri PHP, nie vo WordPresse. Aktualizácia WordPressu, tém alebo pluginov na tom nič nemení; rozhodujúci je stav PHP na serveri a reštart všetkých procesov PHP.

**Nájde bezpečnostný plugin všetky backdoory?**  
Nie spoľahlivo. Plugin beží vo vnútri kompromitovanej inštalácie a môže byť sám zmanipulovaný. Doplňte ho kontrolami zvonku, napríklad kontrolnými súčtami WP-CLI a porovnaním s čistými originálnymi súbormi.

**Čo sú mu-plugins a prečo sú podozrivé?**  
Must-Use pluginy v priečinku wp-content/mu-plugins sa načítavajú automaticky a nezobrazujú sa v bežnom zozname pluginov. Útočníci to radi využívajú, pretože prevádzkovatelia tento priečinok len zriedka kontrolujú.

**Môže byť backdoor aj v databáze?**  
Áno. Škodlivý kód alebo presmerovania sa často ukladajú do nastavení, príspevkov alebo widgetov. Útočníci navyše často zakladajú vlastné administrátorské účty, ktoré nájdete v tabuľke používateľov.

## Zdroje

- [WordPress.org](https://wordpress.org/)
- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)