Trumpai: Jei jūsų WordPress svetainė rodo svetimą turinį, peradresuoja arba staiga pradeda lėtėti, laikykite tai rimtu atveju ir susisiekite dabar. Perimame darbą nuo pirmos žinutės: išsaugome pėdsakus, užblokuojame prieigas, ieškome užpakalinių durų, išvalome svetainę ir dokumentuojame incidentą. Viskas nuotoliu, be atvykimo.
Dabar nieko netrinkite ir neįrenkite iš naujo. Kas pašalina papildinius ar atkuria atsarginę kopiją prieš išsaugodamas, sunaikina įsilaužimo pėdsakus. Ar tai jus palietė? Skambinkite arba rašykite per WhatsApp, arba tiesiogiai naudokite Pranešti apie avariją.
Ar jūsų WordPress nulaužtas?
Ataka prieš WordPress ne visada krenta į akis. Šie požymiai rodo kompromitavimą:
- lankytojai peradresuojami į svetimus puslapius, reklamą ar netikras parduotuves, dažnai tik iš telefono arba iš paieškos sistemų
- Google rodo puslapius jūsų vardu su farmacijos, lošimų ar užsienio kalbų tekstais, žr. SEO šlamštas Google indekse
- skydelyje (dashboard) yra administratorių, kurių niekas nesukūrė, arba slaptažodžių staiga nebegalima atstatyti
- aplanke
wp-content/uploadsyra.phpfailų, kuriems ten ne vieta (kaip suprasti tokius radinius) - atsiranda papildinių ar temų, kurių niekada neįdiegėte, arba jos pačios išnyksta
- jūsų hostingo teikėjas praneša apie šlamšto siuntimą, didelę apkrovą arba užblokuoja svetainę
- naršyklė ar Google rodo įspėjimą prieš jūsų svetainę
Daugiau požymių serverio lygmeniu rasite skyriuje Ar jau esu kompromituotas?.
Ką daryti nedelsiant
- Įjunkite svetainės priežiūros režimą arba atjunkite ją nuo tinklo, jei lankytojams gresia pavojus. Failus palikite nepakeistus.
- Nieko nepašalinkite ir netrinkite failų. Net įtartinų papildinių.
- Paprašykite išsaugoti žurnalus: paprašykite hostingo teikėjo neperrašyti prieigos ir klaidų protokolų. Specializuota spauda pataria saugoti serverio žurnalus nuo 2026 m. spalio 20 d.
- Surinkite prieigas: kas turi WordPress administratoriaus, FTP, SSH, hostingo skydelio ir duomenų bazės prieigą? Užsirašykite, bet slaptažodžius keiskite tik pasitarę ir iš švaraus įrenginio.
- Patikrinkite pašto dėžutes: paskyra, nurodyta WordPress kaip administratoriaus adresas, gali būti naudojama slaptažodžiams atstatyti.
- Informuokite dalyvius: vadovybę, duomenų apsaugos pareigūną ir prireikus draudiką.
- Susisiekite su mumis, kol dar patys nesikišote toliau.
Kaip PHP SOS padeda nulaužtai WordPress svetainei?
- Įvertiname padėtį: išsiaiškiname, ką matote, kokie papildiniai ir temos veikia, kas turėjo prieigą ir kur yra serveris.
- Išsaugome ir uždarome: failai, duomenų bazė ir žurnalai išsaugomi, įtartinos prieigos užblokuojamos, svetainė prireikus atskiriama.
- Tikriname ir valome: palyginame branduolio failus su originalu (kaip tai daroma, aiškina šis straipsnis), ieškome užpakalinių durų papildiniuose, temose, įkėlimuose ir duomenų bazėje ir jas pašaliname. Eiga atitinka mūsų paslaugą Kenkėjiškos programinės įrangos ir webshell šalinimas.
- Sutvirtiname ir pateikiame ataskaitą: tikrinama PHP būsena, teisės, administratoriaus apsauga ir atnaujinimai. Gaunate ataskaitą su laiko juosta, radiniais ir rekomendacijomis.
WordPress atnaujinimas prieš PHP2Shell: kodėl nepakanka
Daug operatorių mano, kad su naujausia WordPress versija viskas sutvarkyta. Tai netiesa. PHP2Shell, t. y. CVE-2026-109618 ir CVE-2026-109619, slypi PHP interpretatoriuje, ant kurio veikia WordPress. Ištaisyta PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. Pasak Dr. Web, WordPress.org tam savo atnaujinimo nenumato. Lemiama yra PHP vykdymo aplinka jūsų serveryje; daugiau skyriuje Kodėl WordPress atnaujinimas nepadeda ir puslapyje WordPress ir PHP2Shell.
Taip pat galioja: PHP pataisa nepašalina kenkėjiško kodo, kuris jau buvo įterptas. Abu dalykus reikia tikrinti kartu.
Užpakalinės durys WordPress: kur jos slepiasi
Užpuolikai prieigas mėgsta palikti ten, kur retai žiūrima: mu-papildiniuose, temų failuose, tokiuose kaip functions.php, paveikslėlių aplankuose su dviguba failo galūne, lentelėje wp_options arba WordPress suplanuotose užduotyse. Išsamiau ir patikros kelius rasite skyriuje Užpakalinių durų paieška WordPress. Po išvalymo kiekvieną administratoriaus prieigą reikėtų apsaugoti dviejų veiksnių autentifikacija.
Jei Google ar naršyklė jūsų svetainę pažymi kaip pavojingą, pirmiausia pašaliname priežastį, o po to padedame su patikra. Eigą aprašo Google įspėjimo pašalinimas.
Kaip svetainę vėl atrakiname
WordPress svetainė grįžta į tinklą tik tada, kai patikrinti branduolio failai, papildiniai ir tema, konfigūracijoje atnaujinti prieigos duomenys ir raktai ir nebeliko įtartino naudotojo. Po to viešą svetainę tikriname lankytojo akimis, taip pat iš telefono, nes kai kurie peradresavimai pasireiškia tik ten. Vėliau kelioms savaitėms rekomenduojame griežtesnę kontrolę. Pažado, kad svetainė niekada nebebus užpulta, nėra, bet yra dokumentuota, patikrinta būsena.
Ką mums atsiųsti
- svetainės adresas ir, jei žinoma, hostingo teikėjas
- nuo kada ir kas jums krito į akis
- įspėjimų, peradresavimų ar svetimų administratorių paskyrų ekrano nuotraukos
- papildinių ir temos sąrašas, kiek žinoma
- paskutinės atsarginės kopijos būsena
Prieigos duomenų prašome nesiųsti el. paštu be prašymo; saugų kelią suderinsime su jumis.
Kodėl PHP SOS
Dirbame Made in Germany ir kartu su savo kibernetinių specialistų partnerių tinklu daugiau nei 25 metus specializuojamės IT saugumo srityje. Turite vieną kontaktinį asmenį, kuris lydi jūsų atvejį nuo pirmos žinutės iki pabaigos. Dirbame nuotoliu visoje Vokietijoje ir Europoje, dokumentuojame kiekvieną žingsnį ir žadame tik tai, ką galima ištesėti: dirbame, kol incidentas bus užbaigtas ir dokumentuotas. Jei galėjo būti paveikti asmens duomenys, ataskaita padeda ir BDAR pranešimo atveju; teisinį vertinimą palieka jūsų duomenų apsaugos pareigūnui. Visą paslaugą aprašo puslapis Svetainė nulaužta: skubi pagalba.
Ar tai jus palietė? Skambinkite. Padėsime.
Jei jūsų WordPress svetainė elgiasi įtartinai, nelaukite kito požymio. Susisiekite dabar, skambučiu ar per WhatsApp, ir perimame nuo pirmos žinutės. Pranešti apie avariją dabar
Dažni klausimai
Ar pakanka atnaujinti WordPress ir visus papildinius, jei svetainė nulaužta?
Ne. Atnaujinimas uždaro spragas ateičiai, bet nepašalina užpakalinių durų, kurios jau yra serveryje. Be to, PHP spraga PHP2Shell yra PHP interpretatoriuje, o ne WordPress. Pasak pranešimų, WordPress.org tam savo atnaujinimo nenumato.
Ar galiu atkurti seną atsarginę kopiją ir tuo viskas baigsis?
Tik atsargiai. Kas nežino įsilaužimo laiko, galbūt grąžina jau užkrėstus failus. Be to, įsilaužimo kelias lieka atviras, jei niekas jo nerado. Pirmiausia išsaugoti, tada įvertinti, tada atkurti.
Kaip atpažinti nematomą administratoriaus paskyrą WordPress?
Kai kurios paskyros naudotojų sąraše nerodomos, nes kenkėjiškas kodas filtruoja išvestį. Daugiau parodo patikra tiesiogiai duomenų bazėje ir palyginimas su žinomais asmenimis. Tai priklauso išvalymui, kurį perimame mes.
Kodėl kenkėjiškas kodas po ištrynimo vis pasirodo iš naujo?
Tuomet dažniausiai yra antros užpakalinės durys arba mechanizmas, kuris atsisiunčia failus iš naujo, pavyzdžiui, suplanuota užduotis ar pakeisti failai neįprastuose aplankuose. Kas ištrina tik matomus simptomus, kovoja su ženklu, o ne su priežastimi.
Kiek kainuoja, jei Google mano WordPress svetainę pažymi kaip pavojingą?
Tai priklauso nuo apimties ir darbo kiekio ir pasakyti galima tik po pirmo įvertinimo. Prasminga pirmiausia pašalinti priežastį ir tik tada prašyti Google patikros.