Ukratko: WordPress backdoor najbrže ćete pronaći tako da jezgru i dodatke uz WP-CLI usporedite sa službenim kontrolnim zbrojevima, a zatim ciljano pregledate mu-plugins, uploade, wp-config.php, admin račune i bazu podataka. Važno nakon PHP2Shella: WordPress ažuriranje ne zatvara PHP ranjivost i ne uklanja postojeća stražnja vrata.
Zašto bi operateri WordPressa sada trebali pogledati pozornije
PHP2Shellom su u listopadu 2026. postale poznate dvije kritične ranjivosti u samom PHP-u, CVE-2026-109618 i CVE-2026-109619. Omogućuju izvršavanje zlonamjernog koda bez prijave, neovisno o tome koliko je uredno održavana Vaša WordPress instalacija. Zakrpe postoje od 21.10.2026., a prema medijskim izvješćima prvi pokušaj napada opažen je već 17.10.
Tko je u tom razdoblju bio ranjiv, trebao bi tražiti tragove. WordPress je pritom tipična meta jer su mnoge instalacije slično građene, a napadači poznaju skrovišta. Što operateri općenito trebaju učiniti u vezi s PHP2Shellom, navedeno je na stranici WordPress i PHP2Shell.
Sljedeće provjere po mogućnosti provedite na kopiji ili nakon sigurnosne kopije. Naredbe samo čitaju i ništa ne mijenjaju.
Po čemu u svakodnevici primijetiti backdoor
Stražnja vrata osmišljena su da ostanu nenametljiva. Ipak postoje znakovi koji se primijete i bez tehničkog znanja. Tu spadaju preusmjeravanja na strane stranice koja se pojavljuju samo posjetiteljima iz Google pretrage ili samo na mobilnim uređajima. Sumnjive su i nove stranice s reklamama za lijekove, kockanje ili kopije robnih marki, koje se pojavljuju u indeksu pretraživača, ali ne u WordPress backendu.
Dodatne naznake su upozorenja Googlea ili preglednika, pritužbe klijenata na spam e-poruke s Vaše domene, naglo jako povećana potrošnja računalnog vremena kod pružatelja hostinga ili administratori koje nitko u timu ne poznaje. Nijedan od tih znakova sam po sebi ne dokazuje backdoor. Ako se pojavi više njih zajedno, sljedeće provjere ne odgađajte.
Obrnuto vrijedi: ako ništa od toga ne upada u oči, to ne znači da je instalacija čista. Upravo stražnja vrata postavljena samo za kasniji pristup prema van često uopće ne pokazuju učinak.
Pronalaženje WordPress backdoora: provjera jezgre i dodataka
WP-CLI može datoteke WordPress jezgre i dodataka iz službenog direktorija usporediti s objavljenim kontrolnim zbrojevima. Svako odstupanje konkretan je zadatak za provjeru.
cd /var/www/meine-seite
# Datoteke jezgre prema službenim kontrolnim zbrojevima
wp core verify-checksums
# Dodaci iz službenog direktorija
wp plugin verify-checksums --all
# Instalirane verzije i status
wp plugin list
wp theme list
Komercijalni dodaci i teme na ovaj se način ne mogu provjeriti. Za njih pomaže samo usporedba sa svježe preuzetim izvornim paketom proizvođača. Nepoznati dodaci koje nitko u timu nije instalirao uvijek su sumnjivi, čak i ako djeluju deaktivirano.
Tipična skrovišta u datotečnom sustavu
Nekoliko se mjesta uvijek iznova pojavljuje kod kompromitiranih WordPress instalacija:
wp-content/mu-plugins/: učitava se automatski i ne pojavljuje se na uobičajenom popisu dodataka.wp-content/uploads/: tamo pripadaju slike i dokumenti, a ne PHP datoteke.wp-config.php: dodatni retciincludeilirequirena početku ili kraju..htaccessi.user.iniu web-direktoriju i podmapama: neočekivana preusmjeravanja ili automatski predučitane datoteke.- Datoteke u glavnom direktoriju čija imena podsjećaju na datoteke WordPress jezgre, ali im ne pripadaju.
# PHP datoteke u mapi za upload
find wp-content/uploads -type f -name "*.php*"
# Sadržaj Must-Use dodataka
ls -la wp-content/mu-plugins/
# Sve .htaccess i .user.ini datoteke s datumom izmjene
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Nedavno izmijenjene PHP datoteke
find . -type f -name "*.php" -newermt "2026-10-17" -ls
Opće obrasce pretraživanja zamaskiranog koda opisuje vodič Prepoznavanje i uklanjanje webshellova.
Provjera korisnika, baze podataka i planiranih zadataka
Mnoga stražnja vrata uopće nisu u datotečnom sustavu. Dodatni administratorski račun napadačima često je dovoljan da se kasnije vrate.
# Svi administratori s datumom registracije
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Planirani zadaci u WordPressu
wp cron event list
# Adresa stranice (manipulacije dovode do preusmjeravanja)
wp option get siteurl
wp option get home
# Objave s ugrađenim skriptama
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
Provjerite i opcije neobično velikog sadržaja te widgete sa stranim kodom. Pogoci automatski ne znače napad jer i kodovi za praćenje ili ugrađene karte koriste skripte. Odlučujuće je poznaje li netko u timu taj sadržaj.
Nakon pronalaska promijenite sve lozinke i sigurnosne ključeve u wp-config.php. Inače postojeće prijave napadača ostaju važeće.
Zatvaranje stražnjih vrata i sprječavanje povratka
Ako ste pronašli backdoor, nova instalacija obično je sigurnija od popravljanja pojedinih datoteka. Ovaj se redoslijed pokazao dobrim:
- Osigurajte tragove: pohranite logove, sumnjive datoteke i izvoz baze podataka s datumom.
- Dovedite PHP na ispravljeno stanje i ponovno pokrenite sve PHP procese.
- Jezgru WordPressa, dodatke i teme instalirajte svježe iz izvornih izvora.
- Uploade i bazu podataka preuzmite provjerene, obrišite strane račune, promijenite sve pristupe.
- Onemogućite izvršavanje PHP-a u mapi za upload na razini poslužitelja.
Za Nginx je za to dovoljan blok u konfiguraciji poslužitelja:
location ~* ^/wp-content/uploads/.*\.php$ {
deny all;
}
Na Apacheu isto postižete pravilom u konfiguraciji poslužitelja za mapu uploada. .htaccess u samoj mapi uploada slabiji je jer ga napadač s pravima pisanja može ponovno promijeniti.
Nakon čišćenja planirajte nekoliko tjedana pomnijeg nadzora. Novi administratori, nove PHP datoteke i promjene u wp-config.php u tom bi se razdoblju trebali odmah uočiti, primjerice redovitom provjerom putem WP-CLI-ja ili nadzorom datoteka na poslužitelju.
Kako zatim postaviti prava datoteka tako da WordPress smije pisati samo tamo gdje je nužno, pokazuje vodič Prava datoteka na web-poslužitelju.
Kako PHP SOS konkretno pomaže?
- Osiguravamo stanje instalacije prije nego se išta promijeni.
- Provjeravamo jezgru, dodatke, teme, bazu podataka, račune i konfiguraciju poslužitelja na stražnja vrata.
- WordPress postavljamo iznova iz čistih izvora i preuzimamo samo provjerene sadržaje.
- Ojačavamo poslužitelj i instalaciju te dokumentiramo što je pronađeno i otklonjeno.
Tijek čišćenja opisuje usluga Uklanjanje zlonamjernog softvera i webshellova.
Česta pitanja
Zatvara li WordPress ažuriranje PHP2Shell ranjivost?
Ne. PHP2Shell je u PHP interpreteru, a ne u WordPressu. Ažuriranje WordPressa, tema ili dodataka tu ništa ne mijenja; presudno je stanje PHP-a na poslužitelju i ponovno pokretanje svih PHP procesa.
Pronalazi li sigurnosni dodatak sve backdoore?
Ne pouzdano. Dodatak radi unutar kompromitirane instalacije i sam može biti manipuliran. Dopunite ga provjerama izvana, primjerice kontrolnim zbrojevima putem WP-CLI-ja i usporedbom s čistim izvornim datotekama.
Što su mu-plugins i zašto su sumnjivi?
Must-Use dodaci u mapi wp-content/mu-plugins učitavaju se automatski i ne pojavljuju se na uobičajenom popisu dodataka. Napadači to rado koriste jer operateri rijetko gledaju tu mapu.
Može li backdoor biti i u bazi podataka?
Da. Zlonamjerni kod ili preusmjeravanja često se pohranjuju u opcijama, objavama ili widgetima. Uz to napadači često stvaraju vlastite administratorske račune, koje ćete naći u tablici korisnika.