Jak wykryć i usunąć malware z WordPressa krok po kroku?

Złośliwy kod może przez długi czas działać na Twojej stronie bez wyraźnych objawów. W tym czasie może dodawać spamerskie podstrony, przekierowywać użytkowników, wysyłać wiadomości z Twojej domeny albo przechwytywać dane wpisywane w formularzach. Im wcześniej wykryjesz infekcję, tym mniejsze będzie ryzyko utraty ruchu, reputacji i zaufania klientów.

Usunięcie malware nie polega wyłącznie na skasowaniu jednego podejrzanego pliku. Musisz znaleźć źródło włamania, sprawdzić pliki i bazę danych, zamknąć pozostawione tylne wejścia oraz zabezpieczyć witrynę przed ponownym atakiem. W tym poradniku przeprowadzę Cię przez cały proces, od rozpoznania objawów aż po wdrożenie stałego monitoringu.

Streszczenie artykułu:

• Najpierw wykonaj kopię zapasową: zachowaj pliki oraz bazę danych, nawet gdy strona jest już zainfekowana.
• Przeskanuj witrynę kilkoma metodami: użyj skanera internetowego, narzędzia hostingu oraz wtyczki bezpieczeństwa.
• Sprawdź pliki i bazę danych: malware często ukrywa się w katalogu uploads, motywie, plikach konfiguracyjnych i tabelach SQL.
• Zmień wszystkie dane dostępowe: obejmuje to WordPressa, hosting, FTP, bazę danych i powiązane konta administratorów.
• Po czyszczeniu wdroż monitoring: aktualizacje, kopie zapasowe, 2FA i powiadomienia o zmianach ograniczą ryzyko nawrotu.

Jak rozpoznać, że WordPress jest zainfekowany?

Infekcja nie zawsze powoduje natychmiastową awarię strony. Część malware została przygotowana w taki sposób, aby przez wiele tygodni pozostać niezauważona. Złośliwy kod może wyświetlać inną treść administratorowi, inną zwykłym użytkownikom, a jeszcze inną robotom wyszukiwarki. Z tego powodu nie powinieneś oceniać bezpieczeństwa wyłącznie na podstawie wyglądu strony głównej.

Jednym z pierwszych sygnałów bywa nagłe spowolnienie witryny, mimo że nie instalowałeś nowych wtyczek ani nie wprowadzałeś większych zmian. Powinny zaniepokoić Cię również problemy z logowaniem, nieznane konta administratorów, nietypowe reklamy, fałszywe komunikaty reCAPTCHA oraz przekierowania prowadzące do podejrzanych serwisów.

Najczęstsze objawy zainfekowanego WordPressa obejmują:

• Nieznane przekierowania: użytkownik trafia na stronę reklamową, phishingową albo serwis o niepowiązanej tematyce.
• Obce wyniki w Google: w domenie pojawiają się podstrony, których nie tworzyłeś, często napisane w innym języku.
• Ostrzeżenia bezpieczeństwa: przeglądarka, Google Search Console lub firma hostingowa zgłasza niebezpieczną zawartość.
• Zmiany w panelu: widzisz nowych administratorów, nieznane wtyczki albo problemy z dostępem do własnego konta.
• Nietypowe pliki: na serwerze pojawiają się pliki o losowych lub mylących nazwach.
• Spadek ruchu organicznego: zaindeksowane podstrony znikają, a widoczność domeny wyraźnie się pogarsza.

Warto również wpisać w Google zapytanie z operatorem site oraz nazwą swojej domeny. Przejrzyj wyniki i sprawdź, czy nie pojawiły się strony dotyczące leków, hazardu, pożyczek lub innych tematów niezwiązanych z Twoją działalnością. Takie podstrony często świadczą o infekcji wykorzystywanej do spamowania wyników wyszukiwania.

WAŻNE!

Zainfekowana strona może stanowić zagrożenie również dla odwiedzających. Nie odkładaj czyszczenia tylko dlatego, że witryna nadal się otwiera. Każdy kolejny dzień może zwiększać szkody w wynikach wyszukiwania oraz ryzyko przechwycenia danych użytkowników.

Jak przygotować stronę do bezpiecznego skanowania?

Zanim usuniesz pierwszy plik, wykonaj pełną kopię zapasową obecnego stanu witryny. Kopia powinna zawierać wszystkie katalogi WordPressa oraz kompletny eksport bazy danych. Zachowaj ją nawet wtedy, gdy wiesz, że znajduje się w niej malware. Będzie punktem odniesienia, a w razie pomyłki pozwoli odzyskać element, który został usunięty podczas czyszczenia.

Kopia plików i bazy danych

Pliki możesz pobrać przez FTP, SFTP albo menedżer plików dostępny w panelu hostingu. Bazę danych wyeksportujesz między innymi za pomocą phpMyAdmin. Kopię przechowuj poza serwerem, na którym działa zainfekowana witryna. Jeżeli malware uzyskało dostęp do całego konta hostingowego, kopia pozostawiona na tym samym serwerze również może zostać zmodyfikowana.

Z mojego doświadczenia wynika, że samo posiadanie pliku kopii zapasowej nie daje jeszcze pewności, że witrynę da się przywrócić. Warto sprawdzić, czy archiwum można otworzyć, a eksport bazy danych nie jest pusty lub uszkodzony. Taka kontrola zajmuje niewiele czasu, a może uratować stronę, gdy podczas ręcznego czyszczenia popełnisz błąd.

Ograniczenie dostępu do witryny

Jeżeli infekcja przekierowuje użytkowników, wyświetla podejrzane formularze albo rozsyła złośliwy kod, czasowo ogranicz publiczny dostęp do strony. Możesz włączyć tryb konserwacji lub zastosować blokadę po stronie serwera. Dostęp pozostaw wyłącznie osobom, które uczestniczą w analizie i naprawie witryny.

Przed rozpoczęciem prac zapisz także informacje o czasie modyfikacji plików, aktywnych administratorach oraz ostatnio instalowanych rozszerzeniach. Te dane mogą pomóc Ci ustalić moment włamania i znaleźć element, przez który atakujący dostał się do WordPressa.

Jak przeskanować WordPressa pod kątem malware?

Najlepsze rezultaty daje połączenie kilku metod. Skaner internetowy sprawdza to, co jest widoczne z zewnątrz, dlatego może wykryć przekierowania, niebezpieczne skrypty i obecność domeny na listach ostrzegawczych. Nie ma jednak pełnego dostępu do serwera, więc może przeoczyć backdoor ukryty w katalogu, którego nie da się otworzyć przez przeglądarkę.

Drugą warstwą kontroli jest skaner dostępny w panelu hostingowym. Analizuje on pliki znajdujące się bezpośrednio na serwerze i może wskazać podejrzane fragmenty PHP. Jeżeli hosting wysłał Ci wiadomość z listą zainfekowanych plików albo czasowo zablokował konto, potraktuj takie ostrzeżenie poważnie i nie przywracaj działania strony bez wcześniejszej analizy.

Trzecim elementem jest wtyczka bezpieczeństwa instalowana w WordPressie. Może porównywać pliki rdzenia i popularnych rozszerzeń z ich oryginalnymi wersjami, monitorować zmiany oraz wykrywać znane sygnatury malware. Pamiętaj jednak, że wynik automatycznego skanowania jest diagnozą, a nie gwarancją kompletnego oczyszczenia.

Który skaner WordPressa wybrać?

Narzędzie	Najważniejsza cecha	Kiedy warto je rozważyć
Wordfence Security	Dogłębne skanowanie plików i wykrywanie znanych wzorców infekcji	Gdy chcesz analizować pliki bezpośrednio z poziomu WordPressa
MalCare	Skanowanie wykonywane na zewnętrznych serwerach	Gdy zależy Ci na ograniczeniu obciążenia hostingu podczas analizy
Sucuri Security	Monitoring integralności plików i dodatkowe funkcje ochronne	Gdy potrzebujesz skanowania połączonego ze stałym monitoringiem
Google Search Console	Informacje o problemach wykrytych przez Google	Gdy witryna otrzymała ostrzeżenie lub straciła widoczność w wynikach

Po zakończeniu skanu przejrzyj każdy wykryty element. Nie usuwaj automatycznie wszystkich plików oznaczonych jako podejrzane, ponieważ skaner może zgłosić również legalną modyfikację motywu lub własny fragment kodu. Najpierw sprawdź lokalizację pliku, datę jego zmiany oraz różnicę między aktualną zawartością a czystą wersją.

Gdzie najczęściej ukrywa się złośliwy kod?

Malware może znajdować się w rdzeniu WordPressa, wtyczkach, motywie, katalogu z mediami, plikach konfiguracyjnych oraz bazie danych. Usunięcie wyłącznie widocznego fragmentu często nie rozwiązuje problemu. Atakujący może pozostawić tylne wejście, które po kilku godzinach lub dniach ponownie pobierze i uruchomi złośliwy kod.

Pliki rdzenia, motywów i wtyczek

Sprawdź katalog główny oraz foldery wp-admin, wp-includes i wp-content. Szczególną uwagę zwróć na pliki wp-config.php, index.php, wp-settings.php i wp-load.php. W motywie przejrzyj functions.php, header.php, footer.php, single.php oraz page.php. Złośliwy fragment bywa doklejony na początku albo na końcu legalnego pliku.

Podejrzane pliki mogą mieć nazwy, które brzmią technicznie i mają nie przyciągać uwagi. Przykładem są wp-old.php, wp-tmp.php, cache.php, init.php, index1.php albo nazwy zbudowane z przypadkowych znaków. Sama nazwa nie przesądza o infekcji, ale powinna skłonić Cię do sprawdzenia zawartości i daty utworzenia.

Katalog uploads i ukryte backdoory

Folder wp-content/uploads powinien zawierać przede wszystkim obrazy, dokumenty i inne przesłane media. Plik PHP znajdujący się w tym katalogu traktuj jako wysoce podejrzany, szczególnie gdy nie wiesz, skąd się wziął. Sprawdź również katalogi cache i languages, ponieważ standardowa instalacja zwykle nie potrzebuje tam przypadkowych plików wykonywalnych.

Przejrzyj wszystkie katalogi z wtyczkami, także te, których nie widzisz na liście w panelu administracyjnym. Backdoor może udawać zwykłe rozszerzenie albo używać nazwy podobnej do popularnej wtyczki. Porównanie katalogu z oryginalnym pakietem pobranym od producenta pozwala szybciej wychwycić dodatkowe pliki.

Baza danych i zaplanowane zadania

W bazie danych sprawdź przede wszystkim tabele zawierające ustawienia oraz treści wpisów. Podejrzane mogą być znaczniki script, iframe, obce adresy internetowe oraz długie zakodowane ciągi w miejscach, w których nie powinny występować. Zweryfikuj także konta użytkowników i usuń administratorów, których nie rozpoznajesz.

Nie pomijaj zaplanowanych zadań WordPressa. Złośliwy wpis w mechanizmie cron może cyklicznie odtwarzać usunięte pliki albo pobierać kod z zewnętrznego serwera. To jedna z przyczyn, dla których infekcja wraca mimo wcześniejszego przeskanowania i usunięcia wskazanych plików.

WAŻNE!

Usunięcie pliku zgłoszonego przez skaner nie oznacza, że strona jest czysta. Musisz jeszcze znaleźć tylne wejście, sprawdzić bazę danych, konta administratorów i zaplanowane zadania. W przeciwnym razie malware może samoczynnie odtworzyć infekcję.

Jak ręcznie ocenić podejrzany kod?

Podczas ręcznej analizy zwracaj uwagę na bardzo długie linie bez formatowania, nietypowe instrukcje warunkowe oraz funkcje służące do dekodowania lub wykonywania ciągów tekstowych. Do częstych sygnałów ostrzegawczych należą eval(), base64_decode(), gzinflate() i str_rot13(). Ich obecność nie jest automatycznym dowodem infekcji, ale wymaga wyjaśnienia.

Sprawdź, czy podejrzany kod występuje w oryginalnej wersji pliku. Rdzeń WordPressa możesz porównać z czystą paczką pobraną z oficjalnego źródła. Podobnie postępuj z darmowymi wtyczkami i motywami. Jeżeli plik różni się od oryginału, ustal, czy zmiana pochodzi z legalnej personalizacji, aktualizacji lub działania złośliwego oprogramowania.

Nie kopiuj płatnych wtyczek ani motywów z przypadkowych serwisów. Świeżą wersję pobierz wyłącznie z konta producenta. Pakiety udostępniane jako bezpłatne kopie rozszerzeń premium mogą już zawierać zmodyfikowany kod, który po instalacji utworzy konto administratora lub zapewni zdalny dostęp do serwera.

Moje obserwacje są takie, że najwięcej czasu traci się wtedy, gdy analiza polega na przypadkowym otwieraniu plików. Zacznij od raportu skanera, dat modyfikacji oraz różnic względem oryginalnych paczek. Następnie przejdź do katalogów, których zawartości nie da się łatwo porównać, czyli własnego motywu, uploads i bazy danych.

Zachowaj szczególną ostrożność podczas edycji wp-config.php i .htaccess. Błąd składni może unieruchomić witrynę, a usunięcie legalnej reguły wpłynąć na adresy podstron lub działanie zabezpieczeń. Każdą zmianę zapisuj w kontrolowany sposób i po jej wykonaniu sprawdzaj zarówno stronę publiczną, jak i panel administracyjny.

Jak usunąć malware z WordPressa krok po kroku?

Skuteczne czyszczenie wymaga zachowania właściwej kolejności. Jeżeli najpierw usuniesz widoczne pliki, ale pozostawisz przejęte hasło lub aktywny backdoor, atakujący może natychmiast odzyskać dostęp. Z kolei chaotyczna aktualizacja wszystkich elementów może zmienić daty plików i utrudnić późniejsze ustalenie źródła infekcji.

Proces czyszczenia przeprowadź w następującej kolejności:

1. Wykonaj pełną kopię zapasową: zachowaj wszystkie pliki, bazę danych i dostępne raporty bezpieczeństwa.
2. Ogranicz publiczny dostęp: zabezpiecz użytkowników przed przekierowaniami, fałszywymi formularzami i złośliwymi skryptami.
3. Zmień dane dostępowe: ustaw nowe hasła do WordPressa, hostingu, FTP, bazy danych i kont powiązanych z administracją.
4. Usuń nieznanych administratorów: pozostaw tylko konta, które są rzeczywiście potrzebne do obsługi witryny.
5. Nadpisz rdzeń WordPressa: użyj czystych plików, nie usuwając katalogu wp-content ani własnych danych.
6. Zainstaluj czyste wersje rozszerzeń: pobierz wtyczki i motywy z oficjalnego repozytorium albo konta producenta.
7. Sprawdź ręcznie pozostałe obszary: przeanalizuj uploads, własny motyw, wp-config.php, .htaccess, bazę danych i zadania cron.
8. Wykonaj ponowny skan: potwierdź, że złośliwe pliki nie wracają i nie pojawiają się nowe ostrzeżenia.

Nie usuwaj całego katalogu wp-content, ponieważ znajdują się w nim między innymi przesłane media i elementy motywu. Rdzeń WordPressa możesz bezpieczniej nadpisać czystą kopią, natomiast zawartość wp-content wymaga dokładniejszej selekcji. Każdy własny plik powinien zostać sprawdzony przed pozostawieniem go na serwerze.

Jeżeli Google oznaczyło stronę jako niebezpieczną, po zakończonym czyszczeniu skorzystaj z sekcji dotyczącej problemów bezpieczeństwa w Google Search Console. Najpierw upewnij się, że witryna przechodzi ponowny skan, a następnie wyślij prośbę o weryfikację. Nie zgłaszaj strony przed usunięciem źródła infekcji.

WAŻNE!

Po zmianie haseł wyloguj aktywne sesje użytkowników i sprawdź klucze bezpieczeństwa WordPressa. Sama zmiana hasła może nie wystarczyć, jeżeli osoba atakująca nadal korzysta z ważnej sesji albo pozostawionego dostępu do serwera.

Co sprawdzić po zakończeniu czyszczenia?

Usunięcie malware to dopiero pierwszy etap przywracania bezpieczeństwa. Przez kolejne dni obserwuj pliki, logowania, wydajność strony i wyniki nowych skanów. Nawrót infekcji może oznaczać, że nie znalazłeś wszystkich tylnych wejść, jedno z haseł nadal jest przejęte albo podatne rozszerzenie pozostało aktywne.

Po oczyszczeniu witryny wykonaj następujące działania:

• Zaktualizuj wszystkie komponenty: zainstaluj aktualną wersję WordPressa, wtyczek i motywów.
• Usuń nieużywane rozszerzenia: wyłączenie wtyczki nie usuwa podatnych plików z serwera.
• Włącz uwierzytelnianie dwuskładnikowe: obejmij nim przede wszystkim konta administratorów.
• Skonfiguruj monitoring zmian: ustaw alerty informujące o modyfikacjach plików i nowych logowaniach.
• Sprawdź kopie zapasowe: upewnij się, że są tworzone regularnie, przechowywane poza serwerem i możliwe do odtworzenia.
• Zweryfikuj widoczność w Google: kontroluj zaindeksowane podstrony oraz raporty bezpieczeństwa w Search Console.

Sprawdź również formularze kontaktowe, proces zakupowy i wszystkie miejsca, w których użytkownik wpisuje dane. Infekcja może zostać usunięta z plików rdzenia, ale pozostawić zmodyfikowaną treść wpisu, kod widżetu albo skrypt osadzony w ustawieniach motywu. Testuj stronę także w trybie prywatnym i na urządzeniu, na którym nie jesteś zalogowany.

Przejrzyj dzienniki serwera, gdy masz do nich dostęp. Powtarzające się żądania do usuniętego pliku mogą ujawnić aktywność bota albo próbę ponownego wykorzystania luki. Nietypowe logowania, seria błędów autoryzacji i odwołania do nieznanych skryptów są sygnałem, że monitoring powinien pozostać włączony.

Jak zabezpieczyć WordPressa przed ponowną infekcją?

Najważniejszą ochroną jest regularne aktualizowanie rdzenia, motywów i wtyczek. Znana luka w starym rozszerzeniu może być automatycznie wyszukiwana przez boty, dlatego nawet niewielka strona może zostać zaatakowana bez ręcznego zainteresowania konkretnej osoby. Usuń wszystko, czego nie używasz, zamiast pozostawiać nieaktywne pliki na serwerze.

Ogranicz liczbę kont z pełnymi uprawnieniami

Każdy użytkownik powinien mieć wyłącznie uprawnienia potrzebne do wykonywania swoich zadań. Osoba publikująca wpisy nie zawsze potrzebuje roli administratora. Mniejsza liczba kont uprzywilejowanych ogranicza ryzyko przejęcia całej witryny po wycieku jednego hasła lub skutecznym ataku phishingowym.

Stosuj silne i unikalne hasła, których nie używasz w innych serwisach. Włącz 2FA dla administratorów, a po zakończeniu współpracy natychmiast usuwaj niepotrzebne konta. Regularnie sprawdzaj listę użytkowników, ponieważ nowe konto z pełnymi uprawnieniami może być jednym z pierwszych śladów włamania.

Wdróż stałe skanowanie i monitoring

Automatyczny skan uruchamiany według harmonogramu pozwala wykryć zmianę wcześniej niż przypadkowa kontrola wykonana raz na kilka miesięcy. Ustaw powiadomienia o nowych plikach, zmianach w rdzeniu WordPressa, nieudanych logowaniach oraz wykryciu znanych sygnatur malware. Alert powinien trafiać na adres, który sprawdzasz regularnie.

Nie polegaj wyłącznie na jednej wtyczce. Połącz ochronę WordPressa z narzędziami hostingu, kopią poza serwerem i kontrolą Google Search Console. Rozważ także firewall aplikacyjny, który może blokować część podejrzanych żądań, zanim dotrą one do WordPressa.

Dbaj o kopie zapasowe i procedurę awaryjną

Kopie wykonuj regularnie i przechowuj w kilku wersjach. Jeżeli malware działało przez dłuższy czas, najnowszy backup może już zawierać złośliwy kod. Dostęp do starszych archiwów zwiększa szansę odnalezienia czystego punktu przywracania. Okresowo testuj odtwarzanie strony w bezpiecznym środowisku.

Przygotuj prostą procedurę awaryjną, która określa, gdzie znajdują się kopie, kto ma dostęp do hostingu i w jaki sposób można czasowo wyłączyć stronę. Dzięki temu nie będziesz podejmować najważniejszych decyzji pod presją. Według mnie taka procedura jest równie ważna jak sama wtyczka bezpieczeństwa, szczególnie w sklepie internetowym.

Podsumowanie

Malware w WordPressie wymaga szybkiej, ale uporządkowanej reakcji. Najpierw wykonaj kopię plików i bazy danych, następnie ogranicz dostęp, zmień hasła i połącz automatyczne skanowanie z ręczną analizą. Sprawdź rdzeń, wtyczki, motyw, uploads, bazę danych oraz zadania cron. Po czyszczeniu wdroż aktualizacje, 2FA, kopie poza serwerem i stały monitoring, ponieważ dopiero usunięcie tylnego wejścia ogranicza ryzyko nawrotu infekcji.