# WordPress zhakowany? Profesjonalna pomoc awaryjna > WordPress zhakowany? Zabezpieczamy ślady, znajdujemy tylne drzwi i przywracamy czystą stronę. Proszę zadzwonić lub napisać na WhatsApp. Źródło: https://phpsos.de/pl/soforthilfe/wordpress-gehackt-soforthilfe/ Stan: 25.10.2026 Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6 **Krótko:** Jeśli Państwa strona WordPress pokazuje obce treści, przekierowuje lub nagle zwolniła, proszę założyć najgorszy scenariusz i zgłosić się teraz. Od pierwszej wiadomości przejmujemy sprawę: zabezpieczamy ślady, blokujemy dostępy, szukamy tylnych drzwi, oczyszczamy stronę i dokumentujemy incydent. Wszystko zdalnie, bez dojazdu. > **Działać natychmiast:** > **Teraz niczego nie usuwać i niczego nie instalować od nowa.** Kto usuwa wtyczki lub przywraca kopię zapasową, zanim wszystko zostanie zabezpieczone, niszczy ślady włamania. Czy są Państwo dotknięci? Proszę zadzwonić lub napisać na WhatsApp albo skorzystać bezpośrednio z [Zgłoś awarię](https://phpsos.de/pl/notfall/). ## Czy Państwa WordPress jest zhakowany? Atak na WordPress nie zawsze rzuca się w oczy. Na skompromitowanie wskazują te oznaki: - odwiedzający są przekierowywani na obce strony, do reklam lub fałszywych sklepów, często tylko z telefonu lub z wyszukiwarek - w Google pojawiają się strony w Państwa imieniu z tekstami farmaceutycznymi, o hazardzie lub w obcych językach, zob. [Spam SEO w indeksie Google](https://phpsos.de/pl/blog/seo-spam-im-google-index/) - w panelu są administratorzy, których nikt nie utworzył, albo hasła nagle nie dają się zresetować - w folderze `wp-content/uploads` leżą pliki `.php`, które nie powinny tam być ([jak interpretować takie znaleziska](https://phpsos.de/pl/blog/php-dateien-im-upload-ordner/)) - pojawiają się wtyczki lub motywy, których Państwo nigdy nie instalowali, albo same znikają - Państwa hostingodawca zgłasza wysyłanie spamu, duże obciążenie lub blokuje stronę - przeglądarka lub Google pokazują ostrzeżenie przed Państwa stroną Więcej oznak na poziomie serwera znajduje się w artykule [Czy już doszło do naruszenia?](https://phpsos.de/pl/php2shell/bin-ich-gehackt-anzeichen/). ## Co należy zrobić teraz 1. **Przełączyć stronę w tryb konserwacji** lub odłączyć od sieci, jeśli zagrożeni są odwiedzający. Pliki pozostawić przy tym bez zmian. 2. **Niczego nie odinstalowywać i nie usuwać plików.** Także wtyczek, które wydają się podejrzane. 3. **Zlecić zabezpieczenie logów:** Proszę poprosić hostingodawcę, aby nie nadpisywał dzienników dostępu i błędów. Prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026. 4. **Zebrać dostępy:** Kto ma administratora WordPressa, FTP, SSH, panel hostingu i bazę danych? Proszę to zanotować, ale hasła zmieniać dopiero po uzgodnieniu i z czystego urządzenia. 5. **Sprawdzić skrzynki pocztowe:** Konto zapisane w WordPressie jako adres administratora może posłużyć do resetowania haseł. 6. **Poinformować zainteresowanych:** Zarząd, inspektora ochrony danych i ewentualnie ubezpieczyciela. 7. **Skontaktować się z nami,** zanim będą Państwo dalej interweniować na własną rękę. ## Jak PHP SOS pomaga przy zhakowanej stronie WordPress? 1. **Ocena sytuacji:** Wyjaśniamy, co Państwo widzą, jakie wtyczki i motywy działają, kto miał dostęp i gdzie znajduje się serwer. 2. **Zabezpieczenie i zamknięcie:** Pliki, baza danych i logi są zabezpieczane, podejrzane dostępy blokowane, a strona w razie potrzeby odizolowana. 3. **Sprawdzenie i oczyszczenie:** Porównujemy pliki rdzenia z oryginałem ([jak to zrobić, wyjaśnia ten wpis](https://phpsos.de/pl/blog/cms-kerndateien-vergleichen/)), szukamy tylnych drzwi we wtyczkach, motywach, uploadach i bazie danych i je usuwamy. Postępowanie odpowiada naszej usłudze [Usuwanie malware i webshelli](https://phpsos.de/pl/leistungen/malware-entfernung/). 4. **Wzmocnienie i raport:** Sprawdzamy stan PHP, uprawnienia, ochronę panelu administratora i aktualizacje. Otrzymują Państwo raport z osią czasu, znaleziskami i zaleceniami. ## Aktualizacja WordPressa a PHP2Shell: dlaczego to nie wystarcza Wielu operatorów wierzy, że z najnowszą wersją WordPressa wszystko jest załatwione. To nieprawda. PHP2Shell, czyli CVE-2026-109618 i CVE-2026-109619, tkwi w interpreterze PHP, na którym działa WordPress. Naprawiono to w PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Według Dr. Web WordPress.org nie planuje w tej sprawie własnej aktualizacji. Decydujące jest środowisko uruchomieniowe PHP na Państwa serwerze; więcej w artykule [Dlaczego aktualizacja WordPressa nie pomaga](https://phpsos.de/pl/blog/warum-wordpress-update-nicht-hilft/) oraz na stronie [WordPress i PHP2Shell](https://phpsos.de/pl/plattformen/wordpress/). Podobnie: poprawka PHP nie usuwa złośliwego kodu, który został już wprowadzony. Jedno i drugie trzeba sprawdzić łącznie. ## Tylne drzwi w WordPressie: gdzie się ukrywają Atakujący chętnie umieszczają dostępy tam, gdzie rzadko się zagląda: we wtyczkach typu mu-plugins, w plikach motywu, takich jak `functions.php`, w folderach z obrazami z podwójnym rozszerzeniem pliku, w tabeli `wp_options` lub w zaplanowanych zadaniach WordPressa. Szczegóły i sposoby sprawdzania znajdą Państwo w artykule [Wyszukiwanie backdoorów w WordPressie](https://phpsos.de/pl/ratgeber/backdoor-wordpress-finden/). Po oczyszczeniu każdy dostęp administratora należy zabezpieczyć [uwierzytelnianiem dwuskładnikowym](https://phpsos.de/pl/ratgeber/zwei-faktor-admin/). Jeśli Państwa strona zostanie oznaczona przez Google lub przeglądarkę jako niebezpieczna, najpierw usuwamy przyczynę, a następnie wspieramy przy weryfikacji. Postępowanie opisuje artykuł [Usunięcie ostrzeżenia Google](https://phpsos.de/pl/ratgeber/google-warnung-entfernen/). ## Jak ponownie udostępniamy stronę Strona WordPress wraca do sieci dopiero wtedy, gdy pliki rdzenia, wtyczki i motyw zostały sprawdzone, dane dostępowe i klucze w konfiguracji wymienione, a żaden podejrzany użytkownik już nie istnieje. Następnie sprawdzamy publiczną stronę z perspektywy odwiedzającego, także z telefonu, ponieważ niektóre przekierowania występują tylko tam. Potem zalecamy na kolejne tygodnie ściślejszą kontrolę. Nie ma zapewnienia, że strona nigdy więcej nie zostanie zaatakowana, jest natomiast udokumentowany, sprawdzony stan. ## Co warto nam przesłać - adres strony oraz, jeśli znany, hostingodawcę - od kiedy i po czym Państwo coś zauważyli - zrzuty ekranu ostrzeżeń, przekierowań lub obcych kont administratorów - listę wtyczek i motywu, o ile znana - stan ostatniej kopii zapasowej Danych dostępowych proszę nie wysyłać e-mailem bez prośby; bezpieczną drogę uzgodnimy z Państwem. ## Dlaczego PHP SOS Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, która prowadzi sprawę od pierwszej wiadomości do zakończenia. Pracujemy zdalnie w całych Niemczech i w Europie, dokumentujemy każdy krok i obiecujemy tylko to, co da się dotrzymać: pracujemy, aż incydent zostanie zakończony i udokumentowany. Jeśli mogły zostać dotknięte dane osobowe, raport pomoże Państwu także przy [zgłoszeniu według RODO](https://phpsos.de/pl/compliance/dsgvo-meldepflicht-72-stunden/); ocena prawna pozostaje w gestii Państwa inspektora ochrony danych. Całość usługi opisuje strona [Strona zhakowana: pomoc awaryjna](https://phpsos.de/pl/leistungen/website-gehackt-notfallhilfe/). ## Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy. Jeśli Państwa strona WordPress zachowuje się podejrzanie, proszę nie czekać na kolejną nieprawidłowość. Proszę zgłosić się teraz, telefonicznie lub przez WhatsApp, a przejmiemy sprawę od pierwszej wiadomości. [Zgłoś awarię teraz](https://phpsos.de/pl/notfall/) ## Częste pytania **Czy wystarczy zaktualizować WordPress i wszystkie wtyczki, jeśli strona została zhakowana?** Nie. Aktualizacja zamyka luki na przyszłość, ale nie usuwa tylnych drzwi, które już leżą na serwerze. Dochodzi do tego: luka PHP2Shell tkwi w interpreterze PHP, a nie w WordPressie. Według doniesień WordPress.org nie planuje w tej sprawie własnej aktualizacji. **Czy mogę wgrać starą kopię zapasową i mieć sprawę z głowy?** Tylko z ostrożnością. Kto nie zna momentu włamania, może przywrócić już zainfekowane pliki. Poza tym wejście pozostaje otwarte, jeśli nikt go nie znalazł. Najpierw zabezpieczyć, potem ocenić, potem przywracać. **Po czym poznać niewidoczne konto administratora w WordPressie?** Niektóre konta nie są wyświetlane na liście użytkowników, ponieważ złośliwy kod filtruje wynik. Więcej pokaże porównanie bezpośrednio w bazie danych i zestawienie ze znanymi osobami. To część oczyszczania, którą przejmujemy. **Dlaczego złośliwy kod po usunięciu ciągle się pojawia?** Zwykle istnieje wtedy druga tylna furtka lub mechanizm doładowujący pliki, na przykład zaplanowane zadanie albo zmanipulowane pliki w nietypowych folderach. Kto usuwa tylko widoczne objawy, zwalcza znak, a nie przyczynę. **Ile kosztuje sytuacja, gdy Google oznaczy moją stronę WordPress jako niebezpieczną?** Zależy to od zakresu i nakładu pracy i można to powiedzieć dopiero po pierwszej ocenie. Rozsądnie jest najpierw usunąć przyczynę, a dopiero potem złożyć wniosek o ponowną weryfikację w Google. ## Źródła - [WordPress.org](https://wordpress.org/) - [BSI: Federalny Urząd ds. Bezpieczeństwa Informacji (Niemcy)](https://www.bsi.bund.de/) - [Dr. Web: PHP2Shell i wersje PHP](https://www.drweb.de/php2shell-update-php-versionen/) - [Pomoc Google Search Console](https://support.google.com/webmasters/)