Stručně: Pokud váš web na WordPressu zobrazuje cizí obsah, přesměrovává nebo je náhle pomalý, počítejte s vážnou situací a ozvěte se hned. Od první zprávy přebíráme: zajistit stopy, zablokovat přístupy, hledat zadní vrátka, web vyčistit a incident zdokumentovat. Vše na dálku, bez cestování.
Nyní nic nemažte a nic znovu nenasazujte. Kdo odstraňuje pluginy nebo obnovuje zálohu dříve, než je vše zajištěno, ničí stopy po průniku. Týká se to vás? Zavolejte nebo napište přes WhatsApp, nebo rovnou použijte Nahlásit nouzi.
Je váš WordPress napaden?
Útok na WordPress nemusí být vždy patrný. Na kompromitaci ukazují tyto příznaky:
- Návštěvníci jsou přesměrováni na cizí stránky, reklamu nebo falešné e-shopy, často jen z mobilu nebo z vyhledávačů
- v Googlu se objevují stránky ve vašem jménu s farmaceutickými, hazardními nebo cizojazyčnými texty, viz SEO spam v indexu Googlu
- v dashboardu jsou administrátoři, které nikdo nevytvořil, nebo se hesla náhle nedají obnovit
- ve složce
wp-content/uploadsleží soubory.php, které tam nepatří (jak takové nálezy vyložit) - objevují se pluginy nebo témata, která jste nikdy neinstalovali, nebo sama zase mizí
- váš hosting hlásí rozesílání spamu, vysokou zátěž nebo web blokuje
- prohlížeč nebo Google zobrazují varování před vaším webem
Další příznaky na úrovni serveru najdete v článku Byl už můj server kompromitován?.
Co udělat hned
- Přepnout web do režimu údržby nebo ho odpojit od sítě, pokud jsou návštěvníci ohroženi. Soubory přitom ponechat beze změn.
- Nic neodinstalovávat a nemazat soubory. Ani pluginy, které působí podezřele.
- Nechat zajistit logy: Požádejte svůj hosting, aby nepřepisoval přístupové a chybové protokoly. Odborný tisk radí uchovat logy serveru od 20. 10. 2026.
- Shromáždit přístupy: Kdo má administraci WordPressu, FTP, SSH, hostingový panel a databázi? Poznamenejte si to, ale hesla měňte až po dohodě a z čistého zařízení.
- Zkontrolovat poštovní schránky: Účet, který je ve WordPressu uveden jako adresa administrátora, lze zneužít k obnovení hesel.
- Informovat zúčastněné: Vedení firmy, pověřence pro ochranu osobních údajů a případně pojišťovnu.
- Ozvěte se nám, než začnete zasahovat dál sami.
Jak PHP SOS pomáhá u napadeného webu na WordPressu?
- Zmapování situace: Zjistíme, co vidíte, jaké pluginy a témata běží, kdo měl přístup a kde server stojí.
- Zajištění a uzavření: Soubory, databáze a logy se zajistí, podezřelé přístupy se zablokují a web se v případě potřeby odstíní.
- Kontrola a vyčištění: Porovnáme základní soubory s originálem (jak na to, vysvětluje tento příspěvek), hledáme zadní vrátka v pluginech, tématech, nahraných souborech a databázi a odstraňujeme je. Postup odpovídá naší službě Odstranění malwaru a webshellů.
- Hardening a zpráva: Zkontroluje se stav PHP, oprávnění, ochrana administrace a aktualizace. Dostanete zprávu s časovou osou, nálezy a doporučeními.
Aktualizace WordPressu proti PHP2Shell: proč nestačí
Mnoho provozovatelů věří, že s nejnovější verzí WordPressu je vše vyřízeno. To neplatí. PHP2Shell, tedy CVE-2026-109618 a CVE-2026-109619, sídlí v interpretu PHP, na kterém WordPress běží. Opraveno je v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Podle Dr. Web WordPress.org pro ni vlastní aktualizaci nepřipravuje. Rozhodující je běhové prostředí PHP na vašem serveru; více v článku Proč aktualizace WordPressu nepomůže a na stránce WordPress a PHP2Shell.
Stejně tak platí: záplata PHP neodstraní škodlivý kód, který už byl vložen. Obojí je třeba kontrolovat společně.
Zadní vrátka ve WordPressu: kde se ukrývají
Útočníci rádi ukládají přístupy tam, kam se málokdo dívá: v mu-pluginech, v souborech tématu, jako je functions.php, ve složkách s obrázky s dvojitou příponou, v tabulce wp_options nebo v naplánovaných úlohách WordPressu. Podrobnosti a postupy kontroly najdete v článku Najít zadní vrátka ve WordPressu. Po vyčištění by měl být každý přístup administrátora zajištěn dvoufázovým ověřením.
Pokud Google nebo prohlížeč označí váš web za nebezpečný, nejdřív odstraníme příčinu a poté pomůžeme s novým posouzením. Postup popisuje stránka Odstranění varování Googlu.
Jak web znovu zveřejníme
Web na WordPressu se vrací do sítě teprve tehdy, když jsou zkontrolovány základní soubory, pluginy a téma, byly obnoveny přístupové údaje a klíče v konfiguraci a neexistuje žádný podezřelý uživatel. Poté zkontrolujeme veřejnou stránku z pohledu návštěvníka, i z mobilu, protože některá přesměrování se objevují jen tam. Následně doporučujeme na příštích několik týdnů užší kontrolu. Příslib, že web už nikdy nebude napaden, neexistuje, ale existuje zdokumentovaný, ověřený stav.
Co nám poslat
- adresu webu a, pokud je známa, hosting
- od kdy a čeho jste si všimli
- snímky obrazovky varování, přesměrování nebo cizích účtů administrátorů
- seznam pluginů a téma, pokud jsou známy
- stav poslední zálohy
Přístupové údaje prosím nezasílejte e-mailem bez vyžádání; bezpečnou cestu s vámi dohodneme.
Proč PHP SOS
Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte jeden kontaktní bod, který váš případ provází od první zprávy až do uzavření. Pracujeme na dálku v celém Německu i v Evropě, dokumentujeme každý krok a slibujeme jen to, co lze dodržet: pracujeme, dokud není incident uzavřen a zdokumentován. Pokud mohly být dotčeny osobní údaje, pomůže vám zpráva také při hlášení podle GDPR; právní posouzení zůstává na vašem pověřenci pro ochranu osobních údajů. Celou službu popisuje stránka Web napaden: nouzová pomoc.
Týká se to vás? Zavolejte nám. Pomůžeme.
Pokud se váš web na WordPressu chová podezřele, nečekejte na další nápadnost. Ozvěte se hned, telefonem nebo přes WhatsApp, a my přebíráme situaci od první zprávy. Nahlásit nouzi hned
Časté dotazy
Stačí aktualizovat WordPress a všechny pluginy, když byl web napaden?
Ne. Aktualizace uzavře zranitelnosti do budoucna, ale neodstraní zadní vrátka, která už na serveru leží. K tomu přistupuje: zranitelnost PHP2Shell sídlí v interpretu PHP, ne ve WordPressu. Podle zpráv WordPress.org pro ni vlastní aktualizaci nepřipravuje.
Mohu obnovit starou zálohu a mít hotovo?
Jen s opatrností. Kdo nezná okamžik průniku, může obnovit už infikované soubory. Navíc zůstane vstupní brána otevřená, pokud ji nikdo nenašel. Nejdřív zajistit, pak posoudit, pak obnovit.
Podle čeho poznám neviditelný účet administrátora ve WordPressu?
Některé účty se v seznamu uživatelů nezobrazují, protože škodlivý kód filtruje výpis. Více ukáže porovnání přímo v databázi a srovnání se známými osobami. To patří k vyčištění, které přebíráme.
Proč se škodlivý kód po smazání stále znovu objevuje?
Pak existují většinou druhá zadní vrátka nebo mechanismus, který soubory znovu stahuje, například naplánovaná úloha nebo manipulované soubory v neobvyklých složkách. Kdo maže jen viditelné příznaky, bojuje s příznakem, ne s příčinou.
Kolik to stojí, když Google označí můj web WordPress za nebezpečný?
Záleží na rozsahu a náročnosti a lze to říci až po prvním zhodnocení. Rozumné je nejdřív odstranit příčinu a teprve poté požádat Google o nové posouzení.