# WordPressi tagaukse leidmine: tagauksed süstemaatiliselt üles

> WordPressi tagaukse leidmine: kontrollige tuum ja pluginad WP-CLI-ga, vaadake üle administraatorid, mu-pluginad, üleslaadimised ja andmebaas ning sulgege tagauksed.

Allikas: https://phpsos.de/et/ratgeber/backdoor-wordpress-finden/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** WordPressi tagaukse leiate kõige kiiremini, kui võrdlete tuuma ja pluginaid WP-CLI abil ametlike kontrollsummadega ning vaatate seejärel sihipäraselt üle mu-pluginad, üleslaaditud failid, `wp-config.php`, administraatorikontod ja andmebaasi. Oluline pärast PHP2Shelli: WordPressi uuendus ei sulge PHP turvaauku ega eemalda olemasolevat tagaust.

## Miks peaksid WordPressi haldajad nüüd täpsemalt järele vaatama

PHP2Shelliga on 2026. aasta oktoobris selgunud kaks kriitilist turvaauku PHP-s endas, CVE-2026-109618 ja CVE-2026-109619. Need võimaldavad kahjuliku koodi käivitamist ilma sisselogimata, sõltumata sellest, kui hoolikalt teie WordPressi paigaldust hooldatakse. Paigad on saadaval alates 21.10.2026, kuid meediaraportite kohaselt täheldati esimest rünnakukatset juba 17.10.

Kes oli selle perioodi jooksul haavatav, peaks jälgi otsima. WordPress on tüüpiline sihtmärk, sest paljud paigaldused on sarnase ülesehitusega ja ründajad tunnevad peidukohti. Mida haldajad PHP2Shelli puhul üldiselt tegema peavad, on kirjas lehel [WordPress ja PHP2Shell](https://phpsos.de/et/plattformen/wordpress/).

Tehke allolevad kontrollid võimaluse korral koopial või pärast varukoopia tegemist. Käsud ainult loevad ega muuda midagi.

## Millest igapäevaselt tagaust märgata

Tagauks on loodud märkamatuks jääma. Siiski on tunnuseid, mis torkavad silma ka ilma tehnilise teadmiseta. Nende hulka kuuluvad ümbersuunamised võõrastele lehtedele, mis esinevad ainult Google'i otsingust tulevatele külastajatele või ainult mobiilseadmetes. Sama kahtlased on uued lehed, kus reklaamitakse ravimeid, hasartmänge või kaubamärgikaupade koopiaid ja mis ilmuvad otsinguindeksis, kuid mitte WordPressi halduses.

Teised vihjed on Google'i või brauseri hoiatused, klientide kaebused teie domeenilt tulnud rämpsposti kohta, veebimajutaja juures järsult kasvanud arvutusaja tarbimine või administraatorid, keda keegi meeskonnas ei tunne. Ükski neist märkidest ei tõesta üksi tagaust. Kui mitu esineb koos, ei tohiks te järgmisi kontrolle edasi lükata.

Vastupidi kehtib: kui midagi sellest silma ei torka, ei tähenda see, et paigaldus on puhas. Eriti tagauksed, mis on loodud alles hilisemaks ligipääsuks, ei näita väljapoole sageli mingit mõju.

## WordPressi tagaukse leidmine: tuuma ja pluginate kontroll

WP-CLI saab võrrelda WordPressi tuumafaile ja ametlikus kataloogis olevate pluginate faile avaldatud kontrollsummadega. Iga kõrvalekalle on konkreetne kontrolliülesanne.

```bash
cd /var/www/meine-seite
# Tuumafailid ametlike kontrollsummade vastu
wp core verify-checksums
# Pluginad ametlikust kataloogist
wp plugin verify-checksums --all
# Paigaldatud versioonid ja staatus
wp plugin list
wp theme list
```

Kommertspluginaid ja -teemasid sel viisil kontrollida ei saa. Nende puhul aitab ainult võrdlus pakkuja värskelt alla laaditud originaalpaketiga. Tundmatud pluginad, mida keegi meeskonnas ei paigaldanud, on alati kahtlased, isegi kui need paistavad deaktiveeritud.

## Tüüpilised peidukohad failisüsteemis

Mõned kohad korduvad kompromiteeritud WordPressi paigaldustes pidevalt:

- `wp-content/mu-plugins/`: laaditakse automaatselt ja ei ilmu tavalisse pluginate nimekirja.
- `wp-content/uploads/`: sinna kuuluvad pildid ja dokumendid, mitte PHP failid.
- `wp-config.php`: lisaread `include` või `require` alguses või lõpus.
- `.htaccess` ja `.user.ini` veebikataloogis ja alamkaustades: ootamatud ümbersuunamised või automaatselt eellaaditavad failid.
- Põhikataloogi failid, mille nimed meenutavad WordPressi tuumafaile, kuid ei kuulu sinna.

```bash
# PHP failid üleslaadimiskaustas
find wp-content/uploads -type f -name "*.php*"
# Must-Use pluginate sisu
ls -la wp-content/mu-plugins/
# Kõik .htaccess ja .user.ini failid muutmiskuupäevaga
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Hiljuti muudetud PHP failid
find . -type f -name "*.php" -newermt "2026-10-17" -ls
```

Hägustatud koodi üldised otsingumustrid kirjeldab juhend [Veebishellide tuvastamine ja eemaldamine](https://phpsos.de/et/ratgeber/webshell-erkennen/).

## Kasutajate, andmebaasi ja ajastatud ülesannete kontroll

Paljud tagauksed ei asugi failisüsteemis. Lisaadministraatori konto piisab ründajale sageli, et hiljem tagasi tulla.

```bash
# Kõik administraatorid registreerimiskuupäevaga
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Ajastatud ülesanded WordPressis
wp cron event list
# Saidi aadress (manipulatsioonid põhjustavad ümbersuunamisi)
wp option get siteurl
wp option get home
# Postitused sisseehitatud skriptidega
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
```

Kontrollige ka ebatavaliselt suure sisuga valikuid ja võõra koodiga vidinaid. Tabamused ei tähenda automaatselt rünnakut, sest jälgimiskoodid või manustatud kaardid kasutavad samuti skripte. Otsustav on, kas keegi meeskonnas sisu tunneb.

> **Oluline:**
> Vahetage pärast leidu kõik paroolid ja turvavõtmed failis `wp-config.php`. Muidu jäävad ründajate olemasolevad sisselogimised kehtima.

## Tagauste sulgemine ja kordumise vältimine

Kui olete tagaukse leidnud, on uuesti paigaldamine enamasti turvalisem kui üksikute failide parandamine. Järgmine järjekord on end tõestanud:

1. Turvake jäljed: logid, kahtlased failid ja andmebaasi eksport kuupäevaga.
2. Viige PHP parandatud seisu ja taaskäivitage kõik PHP protsessid.
3. Paigaldage WordPressi tuum, pluginad ja teemad värskelt originaalallikatest.
4. Võtke üleslaaditud failid ja andmebaas üle pärast kontrolli, kustutage võõrad kontod, vahetage kõik ligipääsud.
5. Takistage PHP käivitamist üleslaadimiskaustas serveri tasemel.

Nginxi puhul piisab selleks plokist serveri konfiguratsioonis:

```nginx
location ~* ^/wp-content/uploads/.*\.php$ {
    deny all;
}
```

Apache'is saavutate sama reegliga serveri konfiguratsioonis üleslaadimiskausta jaoks. `.htaccess` üleslaadimiskaustas endas on nõrgem, sest kirjutusõigusega ründaja saab seda uuesti muuta.

Planeerige pärast puhastust mõneks nädalaks tihedam jälgimine. Uued administraatorid, uued PHP failid ja muudatused failis `wp-config.php` peaksid sel ajal kohe silma jääma, näiteks regulaarse WP-CLI kontrolli või serveri failijärelevalve abil.

Kuidas seada failiõigused nii, et WordPress tohib kirjutada ainult seal, kus vaja, näitab juhend [Failiõigused veebiserveris](https://phpsos.de/et/ratgeber/dateirechte-webserver/).

## Kuidas PHP SOS konkreetselt aitab?

- Turvame paigalduse seisu enne, kui midagi muudetakse.
- Kontrollime tuuma, pluginaid, teemasid, andmebaasi, kontosid ja serveri konfiguratsiooni tagauste suhtes.
- Seame WordPressi üles puhastest allikatest ja võtame üle ainult kontrollitud sisu.
- Karastame serveri ja paigalduse ning dokumenteerime, mis leiti ja kõrvaldati.

Puhastuse käiku kirjeldab teenus [Kahjuliku koodi ja veebishellide eemaldamine](https://phpsos.de/et/leistungen/malware-entfernung/).


## Korduma kippuvad küsimused

**Kas WordPressi uuendus sulgeb PHP2Shelli turvaaugu?**  
Ei. PHP2Shell asub PHP interpretaatoris, mitte WordPressis. WordPressi, teemade või pluginate uuendus sellest midagi ei muuda; otsustav on serveri PHP seis ja kõigi PHP protsesside taaskäivitamine.

**Kas turvaplugin leiab kõik tagauksed?**  
Mitte usaldusväärselt. Plugin töötab kompromiteeritud paigalduse sees ja võib ise olla manipuleeritud. Täiendage seda väljastpoolt tehtavate kontrollidega, näiteks WP-CLI kontrollsummadega ja võrdlusega puhaste originaalfailidega.

**Mis on mu-pluginad ja miks need on kahtlased?**  
Must-Use pluginad kaustas wp-content/mu-plugins laaditakse automaatselt ja need ei ilmu tavalisse pluginate nimekirja. Ründajad kasutavad seda meelsasti, sest haldajad vaatavad seda kausta harva.

**Kas tagauks võib peituda ka andmebaasis?**  
Jah. Kahjulikku koodi või ümbersuunamisi paigutatakse sageli valikutesse, postitustesse või vidinatesse. Lisaks loovad ründajad sageli oma administraatorikontod, mille leiate kasutajate tabelist.

## Allikad

- [WordPress.org](https://wordpress.org/)
- [php.net: turvateated](https://www.php.net/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)