Īsi: WordPress backdoor visātrāk atradīsiet, salīdzinot kodolu un spraudņus ar WP-CLI pret oficiālajām kontrolsummām un pēc tam mērķtiecīgi caurskatot mu-plugins, augšupielādes, wp-config.php, administratoru kontus un datubāzi. Svarīgi pēc PHP2Shell: WordPress atjauninājums PHP ievainojamību neaizver un esošu slēpto piekļuvi nenoņem.
Kāpēc WordPress operatoriem tagad jāskatās rūpīgāk
Ar PHP2Shell 2026. gada oktobrī kļuvušas zināmas divas kritiskas ievainojamības pašā PHP, CVE-2026-109618 un CVE-2026-109619. Tās ļauj izpildīt ļaunprātīgu kodu bez pieteikšanās neatkarīgi no tā, cik labi uzturēta ir jūsu WordPress instalācija. Ielāpi ir kopš 21.10.2026, taču saskaņā ar plašsaziņas līdzekļu ziņojumiem pirmais uzbrukuma mēģinājums tika novērots jau 17.10.
Kas šajā laikā bija ievainojams, tam jāmeklē pēdas. WordPress ir tipisks mērķis, jo daudzas instalācijas ir veidotas līdzīgi un uzbrucēji zina slēptuves. Kas operatoriem par PHP2Shell kopumā jādara, aprakstīts lapā WordPress un PHP2Shell.
Turpmākās pārbaudes veiciet pēc iespējas kopijā vai pēc dublēšanas. Komandas tikai nolasa un neko nemaina.
Kā backdoor pamanīt ikdienā
Slēptā piekļuve ir veidota tā, lai paliktu neuzkrītoša. Tomēr ir pazīmes, kas pamanāmas arī bez tehniskām zināšanām. Pie tām pieder pāradresācijas uz svešām lapām, kas parādās tikai apmeklētājiem no Google meklēšanas vai tikai mobilajās ierīcēs. Tikpat aizdomīgas ir jaunas lapas ar zāļu vai azartspēļu reklāmu vai zīmolu preču kopijām, kas parādās meklēšanas indeksā, bet ne WordPress administrēšanas sadaļā.
Citas norādes ir Google vai pārlūka brīdinājumi, klientu sūdzības par surogātpastu no jūsu domēna, pēkšņi stipri palielināts skaitļošanas laika patēriņš pie hostinga sniedzēja vai administratori, kurus komandā neviens nepazīst. Neviena no šīm pazīmēm pati par sevi nepierāda backdoor. Ja parādās vairākas kopā, turpmākās pārbaudes nevajadzētu atlikt.
Un otrādi: ja nekas no tā nekrīt acīs, tas nenozīmē, ka instalācija ir tīra. Tieši slēptās piekļuves, kas izveidotas vēlākai atgriešanās reizei, uz āru bieži neizpaužas nekādi.
WordPress backdoor atrašana: kodola un spraudņu pārbaude
WP-CLI var WordPress kodola un spraudņu failus no oficiālā direktorija salīdzināt ar publicētajām kontrolsummām. Katra novirze ir konkrēts pārbaudes uzdevums.
cd /var/www/meine-seite
# Kodola faili pret oficiālajām kontrolsummām
wp core verify-checksums
# Spraudņi no oficiālā direktorija
wp plugin verify-checksums --all
# Uzstādītās versijas un statuss
wp plugin list
wp theme list
Komerciālos spraudņus un motīvus šādi pārbaudīt nevar. Tiem palīdz tikai salīdzinājums ar tikko lejupielādētu sniedzēja oriģinālo pakotni. Nezināmi spraudņi, ko komandā neviens nav uzstādījis, vienmēr ir aizdomīgi, pat ja šķiet deaktivizēti.
Tipiskās slēptuves failu sistēmā
Dažas vietas kompromitētās WordPress instalācijās parādās atkal un atkal:
wp-content/mu-plugins/: tiek ielādēts automātiski un neparādās parastajā spraudņu sarakstā.wp-content/uploads/: tur jābūt attēliem un dokumentiem, nevis PHP failiem.wp-config.php: papilduincludevairequirerindas sākumā vai beigās..htaccessun.user.initīmekļa direktorijā un apakšmapēs: negaidītas pāradresācijas vai automātiski iepriekš ielādēti faili.- Faili galvenajā direktorijā, kuru nosaukumi atgādina WordPress kodola failus, bet tiem nepieder.
# PHP faili augšupielāžu mapē
find wp-content/uploads -type f -name "*.php*"
# Must-Use spraudņu saturs
ls -la wp-content/mu-plugins/
# Visi .htaccess un .user.ini faili ar izmaiņu datumu
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Nesen mainīti PHP faili
find . -type f -name "*.php" -newermt "2026-10-17" -ls
Vispārīgus aizsegta koda meklēšanas paraugus apraksta ceļvedis Webshell atklāšana un noņemšana.
Lietotāju, datubāzes un ieplānoto uzdevumu pārbaude
Daudzas slēptās piekļuves nemaz neatrodas failu sistēmā. Papildu administratora konta uzbrucējiem bieži pietiek, lai vēlāk atgrieztos.
# Visi administratori ar reģistrācijas datumu
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Ieplānotie uzdevumi WordPress
wp cron event list
# Vietnes adrese (manipulācijas izraisa pāradresācijas)
wp option get siteurl
wp option get home
# Ieraksti ar iegultiem skriptiem
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
Pārbaudiet arī opcijas ar neparasti lielu saturu un logrīkus ar svešu kodu. Atradumi automātiski nenozīmē uzbrukumu, jo arī izsekošanas kodi vai iegultas kartes izmanto skriptus. Izšķirošais ir tas, vai kāds komandā saturu pazīst.
Pēc atrasta atklājuma nomainiet visas paroles un drošības atslēgas failā wp-config.php. Citādi uzbrucēju esošās sesijas paliek spēkā.
Slēpto piekļuvju aizvēršana un atgriešanās novēršana
Ja esat atradis backdoor, pilnīga atkārtota uzstādīšana parasti ir drošāka nekā atsevišķu failu labošana. Ir noderējusi šāda secība:
- Saglabāt pēdas: žurnālus, aizdomīgos failus un datubāzes eksportu ar datumu.
- PHP novest līdz izlabotam stāvoklim un pārstartēt visus PHP procesus.
- WordPress kodolu, spraudņus un motīvus uzstādīt no jauna no oriģināliem avotiem.
- Augšupielādes un datubāzi pārņemt pēc pārbaudes, svešos kontus dzēst, nomainīt visas piekļuves.
- PHP izpildi augšupielāžu mapē aizliegt servera līmenī.
Nginx gadījumā tam pietiek ar bloku servera konfigurācijā:
location ~* ^/wp-content/uploads/.*\.php$ {
deny all;
}
Apache gadījumā to pašu panākat ar noteikumu servera konfigurācijā augšupielāžu mapei. .htaccess pašā augšupielāžu mapē ir vājāks risinājums, jo uzbrucējs ar rakstīšanas tiesībām to var atkal mainīt.
Pēc attīrīšanas ieplānojiet dažas nedēļas ciešākas novērošanas. Jauniem administratoriem, jauniem PHP failiem un izmaiņām failā wp-config.php šajā laikā jākrīt acīs nekavējoties, piemēram, ar regulāru pārbaudi ar WP-CLI vai failu uzraudzību serverī.
Kā pēc tam iestatīt failu tiesības, lai WordPress drīkstētu rakstīt tikai tur, kur nepieciešams, parāda ceļvedis Failu tiesības tīmekļa serverī.
Kā PHP SOS palīdz konkrēti?
- Saglabājam instalācijas stāvokli, pirms kaut kas tiek mainīts.
- Pārbaudām kodolu, spraudņus, motīvus, datubāzi, kontus un servera konfigurāciju, vai nav slēpto piekļuvju.
- WordPress uzstādām no jauna no tīriem avotiem un pārņemam tikai pārbaudītu saturu.
- Nostiprinām serveri un instalāciju un dokumentējam, kas atrasts un novērsts.
Attīrīšanas norisi apraksta pakalpojums Ļaunprogrammatūras un webshell noņemšana.
Biežāk uzdotie jautājumi
Vai WordPress atjauninājums aizver PHP2Shell ievainojamību?
Nē. PHP2Shell ir PHP interpretatorā, nevis WordPress. WordPress, motīvu vai spraudņu atjauninājums to nemaina; noteicošais ir servera PHP stāvoklis un visu PHP procesu pārstartēšana.
Vai drošības spraudnis atrod visas backdoor?
Ne uzticami. Spraudnis darbojas kompromitētās instalācijas iekšienē un pats var būt manipulēts. Papildiniet to ar pārbaudēm no ārpuses, piemēram, ar WP-CLI kontrolsummām un salīdzinājumu ar tīriem oriģinālajiem failiem.
Kas ir mu-plugins un kāpēc tie ir aizdomīgi?
Must-Use spraudņi mapē wp-content/mu-plugins tiek ielādēti automātiski un neparādās parastajā spraudņu sarakstā. Uzbrucēji to labprāt izmanto, jo operatori šo mapi reti aplūko.
Vai backdoor var būt arī datubāzē?
Jā. Ļaunprātīgs kods vai pāradresācijas bieži tiek ievietotas opcijās, ierakstos vai logrīkos. Turklāt uzbrucēji bieži izveido savus administratoru kontus, ko atradīsiet lietotāju tabulā.