Kort sagt: Hvis jeres WordPress-side viser fremmed indhold, omdirigerer eller pludselig er langsom, så gå ud fra alvor og kontakt os nu. Vi overtager fra den første besked: sikre spor, spærre adgange, finde bagdøre, rense siden og dokumentere hændelsen. Alt på afstand, uden transport.
Slet intet og opsæt intet på ny nu. Den, der fjerner plugins eller spiller backuppen tilbage, før der er sikret, ødelægger sporene efter indbruddet. Er I berørt? Ring til os eller skriv på WhatsApp, eller brug direkte Meld en nødsituation.
Er jeres WordPress hacket?
Et angreb på WordPress opdages ikke altid. Disse tegn taler for en kompromittering:
- Besøgende bliver omdirigeret til fremmede sider, reklamer eller falske shops, ofte kun fra mobilen eller fra søgemaskiner
- i Google dukker der sider op i jeres navn med tekster om medicin, pengespil eller på fremmede sprog, se SEO-spam i Googles indeks
- i dashboardet er der administratorer, som ingen har oprettet, eller adgangskoder kan pludselig ikke nulstilles mere
- i mappen
wp-content/uploadsligger der.php-filer, som ikke har noget at gøre dér (sådan tolker I sådanne fund) - plugins eller temaer dukker op, som I aldrig har installeret, eller forsvinder af sig selv igen
- jeres hostingudbyder melder spamudsendelse, høj belastning eller spærrer siden
- browser eller Google viser en advarsel mod jeres side
Flere tegn på serverniveau står under Er vi allerede kompromitteret?.
Hvad I gør med det samme
- Sæt siden i vedligeholdelsestilstand eller tag den af nettet, hvis besøgende er i fare. Lad filerne forblive uændrede.
- Afinstaller intet og slet ingen filer. Heller ikke plugins, der virker mistænkelige.
- Få logs sikret: Bed jeres hostingudbyder om ikke at overskrive adgangs- og fejlprotokoller. Fagpressen anbefaler at gemme serverlogs fra den 20.10.2026.
- Saml adgangene: Hvem har WordPress-admin, FTP, SSH, hostingpanel og database? Notér det, men ændr adgangskoder først efter aftale og fra en ren enhed.
- Kontrollér mailpostkasserne: Kontoen, der er registreret som admin-adresse i WordPress, kan bruges til at nulstille adgangskoder.
- Underret de involverede: Ledelsen, databeskyttelsesrådgiveren og eventuelt forsikringsselskabet.
- Kontakt os, før I selv griber videre ind.
Hvordan hjælper PHP SOS ved en hacket WordPress-side?
- Danne overblik over situationen: Vi afklarer, hvad I ser, hvilke plugins og temaer der kører, hvem der har haft adgang, og hvor serveren står.
- Sikre og lukke: Filer, database og logs sikres, mistænkelige adgange spærres, siden afskærmes om nødvendigt.
- Kontrollere og rense: Vi sammenligner kernefilerne med originalen (hvordan det gøres, forklarer dette indlæg), leder efter bagdøre i plugins, temaer, uploads og database og fjerner dem. Fremgangsmåden svarer til vores ydelse Fjern malware og webshells.
- Hærde og rapportere: PHP-version, rettigheder, adminbeskyttelse og opdateringer kontrolleres. I modtager en rapport med tidslinje, fund og anbefalinger.
WordPress-opdatering mod PHP2Shell: Hvorfor den ikke er nok
Mange driftsansvarlige tror, at med den nyeste WordPress-version er alt klaret. Det passer ikke. PHP2Shell, altså CVE-2026-109618 og CVE-2026-109619, sidder i den PHP-fortolker, som WordPress kører på. Rettet er det i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Ifølge Dr. Web planlægger WordPress.org ingen egen opdatering hertil. Afgørende er PHP-runtimen på jeres server; mere herom i Hvorfor en WordPress-opdatering ikke hjælper og på siden WordPress og PHP2Shell.
Ligeså gælder: En PHP-rettelse fjerner ikke skadelig kode, der allerede er indsmuglet. Begge dele skal kontrolleres sammen.
Bagdøre i WordPress: Hvor de gemmer sig
Angribere lægger gerne adgange, hvor man sjældent kigger: i mu-plugins, i temafiler som functions.php, i billedmapper med dobbelt filendelse, i tabellen wp_options eller i WordPress' planlagte opgaver. Detaljer og kontrolveje finder I under Find bagdøre i WordPress. Efter oprydningen bør enhver admin-adgang sikres med en tofaktorlogin.
Markeres jeres side af Google eller en browser som farlig, fjerner vi først årsagen og støtter derefter ved den fornyede kontrol. Fremgangsmåden beskriver Fjern Google-advarsel.
Sådan frigiver vi siden igen
En WordPress-side går først tilbage på nettet, når kernefiler, plugins og tema er kontrolleret, adgangsdata og nøgler i konfigurationen er fornyet, og ingen mistænkelig bruger længere findes. Derefter kontrollerer vi den offentlige side fra en besøgendes synsvinkel, også fra mobilen, fordi nogle omdirigeringer kun optræder dér. Bagefter anbefaler vi en snævrere kontrol i de næste uger. En tilsagn om, at siden aldrig mere bliver angrebet, findes ikke, men en dokumenteret, kontrolleret tilstand.
Hvad I bør sende til os
- sidens adresse og, hvis kendt, hostingudbyderen
- siden hvornår og hvordan I har bemærket noget
- skærmbilleder af advarsler, omdirigeringer eller fremmede admin-konti
- en liste over plugins og temaet, så vidt det er kendt
- status for den seneste sikkerhedskopi
Send venligst ikke adgangsdata pr. mail uopfordret; vi afstemmer den sikre vej med jer.
Hvorfor PHP SOS
Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. I har én kontaktperson, der følger jeres sag fra den første besked til afslutningen. Vi arbejder på afstand i hele Tyskland og Europa, dokumenterer hvert skridt og lover kun, hvad der kan holdes: Vi arbejder, indtil hændelsen er afsluttet og dokumenteret. Hvis personoplysninger kan være berørt, hjælper rapporten jer også ved GDPR-anmeldelsen; den juridiske vurdering forbliver hos jeres databeskyttelsesrådgiver. Den samlede ydelse beskriver siden Website hacket: Nødhjælp.
Er I berørt? Ring til os. Vi hjælper.
Hvis jeres WordPress-side opfører sig mistænkeligt, så vent ikke på den næste påfaldende hændelse. Kontakt os nu, pr. opkald eller WhatsApp, og vi overtager fra den første besked. Meld en nødsituation nu
Ofte stillede spørgsmål
Er det nok at opdatere WordPress og alle plugins, hvis siden er blevet hacket?
Nej. En opdatering lukker sårbarheder for fremtiden, men fjerner ikke en bagdør, der allerede ligger på serveren. Dertil kommer: PHP-sårbarheden PHP2Shell sidder i PHP-fortolkeren, ikke i WordPress. Ifølge rapporter planlægger WordPress.org ingen egen opdatering hertil.
Kan jeg spille en gammel backup tilbage og så være færdig?
Kun med forsigtighed. Den, der ikke kender tidspunktet for indbruddet, spiller måske allerede inficerede filer tilbage. Dertil kommer, at indgangen forbliver åben, hvis ingen har fundet den. Først sikre, så vurdere, så genoprette.
Hvordan genkender jeg en usynlig administratorkonto i WordPress?
Nogle konti vises ikke i brugerlisten, fordi skadelig kode filtrerer visningen. Et tjek direkte i databasen og sammenligning med de kendte personer viser mere. Det hører med til oprydningen, som vi overtager.
Hvorfor dukker den skadelige kode op igen og igen efter sletning?
Så er der som regel en anden bagdør eller en mekanisme, der genindlæser filer, for eksempel en planlagt opgave eller manipulerede filer i usædvanlige mapper. Den, der kun sletter synlige symptomer, bekæmper tegnet og ikke årsagen.
Hvad koster det, hvis Google markerer min WordPress-side som farlig?
Det afhænger af omfang og arbejde og kan først siges efter en første vurdering. Det er fornuftigt først at fjerne årsagen og derefter anmode Google om en fornyet kontrol.