Röviden: Ha a WordPress-oldala idegen tartalmakat mutat, átirányít, vagy hirtelen lassú, számoljon a legrosszabbal, és jelentkezzen most. Az első üzenettől átvesszük az ügyet: nyomokat mentünk, hozzáféréseket tiltunk, hátsó ajtókat keresünk, megtisztítjuk az oldalt, és dokumentáljuk az incidenst. Mindez távolról, kiszállás nélkül.
Most ne töröljön semmit, és ne telepítsen újra semmit. Aki bővítményeket távolít el vagy visszaállítja a mentést, mielőtt a mentés megtörtént, megsemmisíti a behatolás nyomait. Érintett? Hívjon minket, vagy írjon WhatsAppon, esetleg használja közvetlenül a Vészhelyzet bejelentése oldalt.
Feltörték a WordPressét?
A WordPress elleni támadás nem mindig tűnik fel. Ezek a jelek kompromittálódásra utalnak:
- A látogatókat idegen oldalakra, reklámokra vagy hamis webshopokba irányítják át, gyakran csak mobilról vagy keresőmotorokból érkezve
- a Google-ben az Ön nevében megjelennek oldalak gyógyszeripari, szerencsejátékos vagy idegen nyelvű szövegekkel, lásd SEO-spam a Google-indexben
- a vezérlőpulton olyan rendszergazdák vannak, akiket senki sem hozott létre, vagy a jelszavak hirtelen már nem állíthatók vissza
- a
wp-content/uploadsmappában.php-fájlok vannak, amelyeknek ott semmi keresnivalójuk (így értelmezze az ilyen lelőhelyeket) - olyan bővítmények vagy témák jelennek meg, amelyeket sosem telepített, vagy maguktól eltűnnek
- a tárhelyszolgáltatója spamküldést vagy magas terhelést jelez, vagy letiltja az oldalt
- a böngésző vagy a Google figyelmeztetést jelenít meg az oldalával kapcsolatban
További, szerverszintű jeleket itt talál: Már feltörték a rendszeremet?.
Mit tegyen azonnal
- Állítsa karbantartási módba az oldalt, vagy vegye le a hálózatról, ha a látogatók veszélyben vannak. A fájlokat közben hagyja változatlanul.
- Ne távolítson el semmit, és ne töröljön fájlokat. A gyanúsnak tűnő bővítményeket sem.
- Mentesse a naplókat: Kérje meg a tárhelyszolgáltatóját, hogy a hozzáférési és hibanaplókat ne írja felül. A szakmai sajtó azt javasolja, hogy a szervernaplókat 2026. október 20-tól őrizzék meg.
- Gyűjtse össze a hozzáféréseket: Kinek van WordPress-adminja, FTP-je, SSH-ja, tárhelypanelje és adatbázisa? Jegyezze fel, de a jelszavakat csak egyeztetés után, és egy tiszta eszközről módosítsa.
- Ellenőrizze a levelezési fiókokat: A WordPressben rendszergazdai címként megadott fiók használható jelszavak visszaállítására.
- Tájékoztassa az érintetteket: a vezetést, az adatvédelmi felelőst, és adott esetben a biztosítót.
- Jelentkezzen nálunk, mielőtt tovább maga avatkozna be.
Hogyan segít a PHP SOS egy feltört WordPress-oldalnál?
- Helyzetfelmérés: Tisztázzuk, mit lát, mely bővítmények és témák futnak, kinek volt hozzáférése, és hol áll a szerver.
- Mentés és lezárás: A fájlokat, az adatbázist és a naplókat mentjük, a gyanús hozzáféréseket letiltjuk, az oldalt szükség esetén elzárjuk.
- Vizsgálat és tisztítás: Összevetjük a magfájlokat az eredetivel (hogyan megy ez, azt ez a cikk magyarázza), hátsó ajtókat keresünk a bővítményekben, témákban, feltöltésekben és az adatbázisban, és eltávolítjuk őket. Az eljárás a Kártevők és webshellek eltávolítása szolgáltatásunknak felel meg.
- Keményítés és jelentés: Ellenőrizzük a PHP állapotát, a jogosultságokat, a rendszergazdai védelmet és a frissítéseket. Jelentést kap idővonallal, leletekkel és ajánlásokkal.
WordPress-frissítés a PHP2Shell ellen: miért nem elég
Sok üzemeltető azt hiszi, hogy a legújabb WordPress-verzióval minden el van intézve. Ez nem igaz. A PHP2Shell, vagyis a CVE-2026-109618 és a CVE-2026-109619, abban a PHP-értelmezőben van, amelyen a WordPress fut. Javítva a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verzióban. A Dr. Web szerint a WordPress.org nem tervez rá saját frissítést. Az Ön szerverén a PHP-futtatókörnyezet a döntő; többet erről a Miért nem segít a WordPress-frissítés oldalon és a WordPress és PHP2Shell oldalon talál.
Ugyanígy igaz: egy PHP-javítás nem távolítja el a már bejuttatott kártékony kódot. A kettőt együtt kell ellenőrizni.
Hátsó ajtók a WordPressben: hol rejtőznek
A támadók szívesen olyan helyekre rejtik a hozzáféréseket, ahová ritkán néznek: a Mu-pluginokba, a téma fájljaiba, például a functions.php-ba, kettős fájlkiterjesztésű képmappákba, a wp_options táblába vagy a WordPress ütemezett feladataiba. A részleteket és az ellenőrzési utakat a Hátsó ajtók keresése a WordPressben oldalon találja. A tisztítás után minden rendszergazdai hozzáférést kétfaktoros bejelentkezéssel kell biztosítani.
Ha az oldalát a Google vagy egy böngésző veszélyesnek jelöli, először az okot szüntetjük meg, majd támogatjuk az ellenőrzés kérésében. Az eljárást a Google-figyelmeztetés eltávolítása írja le.
Hogyan adjuk vissza az oldalt
Egy WordPress-oldal csak akkor kerül vissza a hálózatra, ha a magfájlokat, a bővítményeket és a témát átvizsgálták, a hozzáférési adatokat és a konfigurációban lévő kulcsokat megújították, és nem létezik gyanús felhasználó. Utána a nyilvános oldalt egy látogató szemszögéből is megvizsgáljuk, mobilról is, mert egyes átirányítások csak ott jelentkeznek. Ezután a következő hetekre szorosabb ellenőrzést javasolunk. Olyan ígéretet, hogy az oldalt soha többé nem támadják meg, nem adunk, de dokumentált, ellenőrzött állapotot igen.
Mit érdemes elküldenie nekünk
- az oldal címét és, ha ismert, a tárhelyszolgáltatót
- hogy mióta és mi tűnt fel Önnek
- képernyőképeket figyelmeztetésekről, átirányításokról vagy idegen rendszergazdai fiókokról
- a bővítmények és a téma listáját, amennyiben ismert
- az utolsó mentés állapotát
A hozzáférési adatokat kérjük, ne küldje el kéretlenül e-mailben; a biztonságos utat egyeztetjük Önnel.
Miért a PHP SOS
A munkánk Made in Germany, és a kiberbiztonsági szakemberekből álló partnerhálózatunkkal több mint 25 éve az informatikai biztonságra szakosodtunk. Egy kapcsolattartója van, aki az esetét az első üzenettől a lezárásig kíséri. Távolról dolgozunk egész Németországban és Európában, minden lépést dokumentálunk, és csak azt ígérjük, ami tartható: addig dolgozunk, amíg az incidens le nem zárul, és dokumentált nem lesz. Ha személyes adatok is érintettek lehetnek, a jelentés a GDPR-bejelentésben is segít; a jogi értékelés az adatvédelmi felelősnél marad. A teljes szolgáltatást a Feltört weboldal: vészhelyzeti segítség oldal írja le.
Érintett? Hívjon minket. Segítünk.
Ha a WordPress-oldala gyanúsan viselkedik, ne várja meg a következő feltűnő jelenséget. Jelentkezzen most, telefonon vagy WhatsAppon, és az első üzenettől átvesszük az ügyet. Vészhelyzet bejelentése most
Gyakori kérdések
Elég frissíteni a WordPresst és az összes bővítményt, ha az oldalt feltörték?
Nem. A frissítés a jövőre nézve zár le réseket, de nem távolít el egy hátsó ajtót, amely már a szerveren van. Ehhez jön: a PHP2Shell PHP-rés a PHP-értelmezőben van, nem a WordPressben. Beszámolók szerint a WordPress.org nem tervez rá saját frissítést.
Visszaállíthatok egy régi mentést, és ezzel kész?
Csak óvatosan. Aki nem ismeri a behatolás időpontját, esetleg már fertőzött fájlokat állít vissza. Ráadásul a bejárat nyitva marad, ha senki sem találta meg. Először mentés, aztán értékelés, aztán helyreállítás.
Miből ismerem fel a láthatatlan rendszergazdai fiókot a WordPressben?
Egyes fiókok nem jelennek meg a felhasználólistában, mert a kártékony kód szűri a kimenetet. Többet mutat az adatbázisban végzett összevetés és az ismert személyekkel való összehasonlítás. Ez a tisztítás része, amelyet mi végzünk.
Miért bukkan fel újra és újra a kártékony kód a törlés után?
Ilyenkor többnyire van egy második hátsó ajtó, vagy egy olyan mechanizmus, amely fájlokat tölt újra, például egy ütemezett feladat vagy manipulált fájlok szokatlan mappákban. Aki csak a látható tüneteket törli, a jelet küzdi, nem az okot.
Mennyibe kerül, ha a Google veszélyesnek jelöli a WordPress-oldalamat?
Ez a terjedelemtől és a ráfordítástól függ, és csak egy első értékelés után mondható meg. Érdemes először az okot megszüntetni, és csak utána kérni az ellenőrzést a Google-nél.