Pe scurt: Dacă site-ul dumneavoastră WordPress afișează conținut străin, redirecționează sau devine brusc lent, porniți de la premisa unui caz grav și contactați-ne acum. Preluăm de la primul mesaj: conservăm urmele, blocăm accesurile, căutăm ușile dosnice, curățăm site-ul și documentăm incidentul. Totul la distanță, fără deplasare.
Acum nu ștergeți nimic și nu reinstalați nimic. Cine elimină plugin-uri sau restaurează backupul înainte de salvare distruge urmele intruziunii. Sunteți afectat? Sunați-ne sau scrieți-ne pe WhatsApp, ori folosiți direct Anunțați urgența.
WordPress-ul dumneavoastră este hackuit?
Un atac asupra WordPress nu se observă întotdeauna. Aceste semne indică o compromitere:
- vizitatorii sunt redirecționați către pagini străine, reclame sau magazine false, adesea doar de pe telefon sau din motoarele de căutare
- în Google apar pagini în numele dumneavoastră cu texte farmaceutice, de jocuri de noroc sau în limbi străine, vezi Spamul SEO în indexul Google
- în panoul de control există administratori pe care nu i-a creat nimeni sau parolele nu mai pot fi resetate brusc
- în dosarul
wp-content/uploadsse află fișiere.phpcare nu au ce căuta acolo (cum interpretați astfel de constatări) - apar plugin-uri sau teme pe care nu le-ați instalat niciodată sau dispar singure
- furnizorul dumneavoastră de hosting raportează trimitere de spam, încărcare ridicată sau blochează site-ul
- browserul sau Google afișează un avertisment privind site-ul dumneavoastră
Alte semne la nivel de server găsiți la Am fost deja compromis?.
Ce faceți imediat
- Treceți site-ul în modul de mentenanță sau scoateți-l din rețea dacă vizitatorii sunt în pericol. Lăsați fișierele neschimbate.
- Nu dezinstalați nimic și nu ștergeți fișiere. Nici plugin-urile care par suspecte.
- Puneți logurile la păstrare: rugați furnizorul de hosting să nu suprascrie jurnalele de acces și de erori. Presa de specialitate recomandă păstrarea logurilor serverului începând cu 20.10.2026.
- Adunați accesurile: cine are acces de administrator WordPress, FTP, SSH, panou de hosting și bază de date? Notați aceasta, dar schimbați parolele abia după înțelegere și de pe un dispozitiv curat.
- Verificați căsuțele de e-mail: contul înregistrat în WordPress ca adresă de administrator poate fi folosit pentru resetarea parolelor.
- Informați persoanele implicate: conducerea, responsabilul cu protecția datelor și, după caz, asigurătorul.
- Contactați-ne înainte de a interveni mai departe singur.
Cum ajută PHP SOS în cazul unui site WordPress hackuit?
- Imaginea situației: Clarificăm ce vedeți, ce plugin-uri și teme rulează, cine a avut acces și unde se află serverul.
- Salvare și închidere: Fișierele, baza de date și logurile sunt salvate, accesurile suspecte sunt blocate, iar site-ul este izolat dacă este necesar.
- Verificare și curățare: Comparăm fișierele de bază cu originalul (cum se face, explică acest articol), căutăm uși dosnice în plugin-uri, teme, încărcări și baza de date și le eliminăm. Procedura corespunde serviciului nostru Eliminarea malware-ului și a webshell-urilor.
- Securizare și raport: Se verifică versiunea PHP, drepturile, protecția administratorilor și actualizările. Primiți un raport cu cronologie, constatări și recomandări.
Actualizarea WordPress împotriva PHP2Shell: de ce nu este suficientă
Mulți operatori cred că, odată cu cea mai nouă versiune WordPress, totul este rezolvat. Nu este adevărat. PHP2Shell, adică CVE-2026-109618 și CVE-2026-109619, se află în interpretorul PHP pe care rulează WordPress. Este remediat în PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Potrivit Dr. Web, WordPress.org nu planifică pentru aceasta o actualizare proprie. Decisiv este mediul de execuție PHP de pe serverul dumneavoastră; mai multe în De ce o actualizare WordPress nu ajută și pe pagina WordPress și PHP2Shell.
Se aplică de asemenea: un patch PHP nu elimină codul malițios deja introdus. Ambele trebuie verificate împreună.
Uși dosnice în WordPress: unde se ascund
Atacatorii depun bucuroși accesurile acolo unde rareori se uită cineva: în mu-plugins, în fișiere ale temei precum functions.php, în dosare de imagini cu dublă extensie de fișier, în tabela wp_options sau în sarcinile programate ale WordPress. Detalii și căi de verificare găsiți la Găsirea ușilor dosnice în WordPress. După curățare, orice acces de administrator ar trebui securizat cu autentificare în doi factori.
Dacă site-ul dumneavoastră este marcat de Google sau de un browser ca periculos, eliminăm mai întâi cauza și apoi sprijinim reverificarea. Procedura o descrie Eliminarea avertismentului Google.
Cum redăm site-ul în rețea
Un site WordPress revine în rețea abia când fișierele de bază, plugin-urile și tema au fost verificate, datele de acces și cheile din configurație au fost înnoite și nu mai există niciun utilizator suspect. Apoi verificăm pagina publică din perspectiva unui vizitator, inclusiv de pe telefon, deoarece unele redirecționări apar doar acolo. Ulterior recomandăm un control mai strâns în următoarele săptămâni. Nu există o promisiune că site-ul nu va mai fi atacat niciodată, dar există o stare documentată și verificată.
Ce ar trebui să ne trimiteți
- adresa site-ului și, dacă o cunoașteți, furnizorul de hosting
- de când și prin ce ați observat ceva
- capturi de ecran ale avertismentelor, ale redirecționărilor sau ale conturilor de administrator străine
- o listă a plugin-urilor și a temei, în măsura în care o cunoașteți
- starea ultimei copii de siguranță
Vă rugăm să nu trimiteți date de acces prin e-mail nesolicitat; stabilim împreună cu dumneavoastră calea sigură.
De ce PHP SOS
Lucrăm Made in Germany și suntem specializați în securitate IT de peste 25 de ani, împreună cu rețeaua noastră de parteneri din profesioniști cyber. Aveți un interlocutor, care vă însoțește cazul de la primul mesaj până la încheiere. Lucrăm la distanță în toată Germania și Europa, documentăm fiecare pas și promitem doar ce se poate ține: lucrăm până când incidentul este încheiat și documentat. Dacă ar putea fi afectate date cu caracter personal, raportul vă ajută și la notificarea RGPD; evaluarea juridică rămâne la responsabilul dumneavoastră cu protecția datelor. Serviciul în ansamblu îl descrie pagina Site hackuit: ajutor de urgență.
Sunteți afectat? Sunați-ne. Vă ajutăm.
Dacă site-ul dumneavoastră WordPress se comportă suspect, nu așteptați următoarea anomalie. Contactați-ne acum, prin apel sau WhatsApp, iar noi preluăm cazul de la primul mesaj. Anunțați acum urgența
Întrebări frecvente
Este suficient să actualizez WordPress și toate plugin-urile dacă site-ul a fost hackuit?
Nu. O actualizare închide vulnerabilități pentru viitor, dar nu elimină o ușă dosnică aflată deja pe server. La aceasta se adaugă: vulnerabilitatea PHP2Shell se află în interpretorul PHP, nu în WordPress. Potrivit rapoartelor, WordPress.org nu planifică pentru aceasta o actualizare proprie.
Pot restaura un backup vechi și am terminat?
Doar cu prudență. Cine nu cunoaște momentul intruziunii poate restaura fișiere deja infectate. În plus, poarta de intrare rămâne deschisă dacă nu a găsit-o nimeni. Mai întâi salvați, apoi evaluați, apoi restaurați.
Cum recunosc un cont de administrator invizibil în WordPress?
Unele conturi nu sunt afișate în lista de utilizatori, deoarece codul malițios filtrează afișarea. O comparație direct în baza de date și confruntarea cu persoanele cunoscute arată mai mult. Aceasta face parte din curățarea pe care o preluăm noi.
De ce reapare codul malițios după ce l-am șters?
Atunci există de obicei o a doua ușă dosnică sau un mecanism care reîncarcă fișiere, de exemplu o sarcină programată sau fișiere manipulate în dosare neobișnuite. Cine șterge doar simptomele vizibile combate semnul, nu cauza.
Cât costă dacă Google îmi marchează site-ul WordPress ca periculos?
Depinde de amploare și de efort și se poate spune abia după o primă evaluare. Este util să eliminați mai întâi cauza și abia apoi să solicitați reverificarea la Google.