Stručne: Backdoor vo WordPresse nájdete najrýchlejšie tak, že jadro a pluginy porovnáte cez WP-CLI s oficiálnymi kontrolnými súčtami a potom cielene prejdete mu-plugins, uploady, wp-config.php, administrátorské účty a databázu. Dôležité po PHP2Shell: aktualizácia WordPressu zraniteľnosť PHP neuzatvorí a existujúci backdoor neodstráni.
Prečo by sa mali prevádzkovatelia WordPressu teraz pozrieť dôkladnejšie
S PHP2Shell sa v októbri 2026 stali známymi dve kritické zraniteľnosti v samotnom PHP, CVE-2026-109618 a CVE-2026-109619. Umožňujú vykonanie škodlivého kódu bez prihlásenia, bez ohľadu na to, ako dobre je spravovaná vaša inštalácia WordPressu. Záplaty existujú od 21. 10. 2026, podľa správ médií sa však prvý pokus o útok pozoroval už 17. 10.
Kto bol v tomto období zraniteľný, mal by hľadať stopy. WordPress je pritom typický cieľ, pretože mnohé inštalácie sú postavené podobne a útočníci poznajú skrýše. Čo majú prevádzkovatelia k téme PHP2Shell vo všeobecnosti robiť, nájdete na stránke WordPress a PHP2Shell.
Nasledujúce kontroly vykonajte podľa možnosti na kópii alebo po zálohe. Príkazy iba čítajú a nič nemenia.
Podľa čoho backdoor v bežnej prevádzke spoznáte
Backdoor je navrhnutý tak, aby zostal nenápadný. Napriek tomu existujú príznaky, ktoré si všimnete aj bez technických znalostí. Patria k nim presmerovania na cudzie stránky, ktoré sa objavujú len u návštevníkov z vyhľadávania Google alebo len na mobilných zariadeniach. Rovnako podozrivé sú nové stránky s reklamou na lieky, hazardné hry alebo kópie značkových produktov, ktoré sa objavujú v indexe vyhľadávača, ale nie v backende WordPressu.
Ďalšími indíciami sú varovania od Google alebo prehliadača, sťažnosti zákazníkov na spamové e-maily z vašej domény, náhle výrazne vyššia spotreba výpočtového času u poskytovateľa hostingu alebo administrátori, ktorých nikto v tíme nepozná. Žiadny z týchto znakov sám o sebe backdoor nedokazuje. Ak sa vyskytne viac naraz, nasledujúce kontroly neodkladajte.
Naopak platí: ak si nič z toho nevšimnete, neznamená to, že je inštalácia čistá. Práve backdoory založené iba pre neskorší prístup navonok často nevykazujú žiadny účinok.
Nájsť backdoor vo WordPresse: overiť jadro a pluginy
WP-CLI dokáže súbory jadra WordPressu a pluginov z oficiálneho adresára porovnať so zverejnenými kontrolnými súčtami. Každá odchýlka je konkrétnou úlohou na preverenie.
cd /var/www/meine-seite
# Súbory jadra voči oficiálnym kontrolným súčtom
wp core verify-checksums
# Pluginy z oficiálneho adresára
wp plugin verify-checksums --all
# Nainštalované verzie a stav
wp plugin list
wp theme list
Komerčné pluginy a témy sa takto overiť nedajú. Pri nich pomôže iba porovnanie s čerstvo stiahnutým originálnym balíkom poskytovateľa. Neznáme pluginy, ktoré nikto v tíme neinštaloval, sú vždy podozrivé, aj keď sa zdajú deaktivované.
Typické skrýše v súborovom systéme
Niektoré miesta sa pri kompromitovaných inštaláciách WordPressu opakujú:
wp-content/mu-plugins/: načítava sa automaticky a nezobrazuje sa v bežnom zozname pluginov.wp-content/uploads/: tam patria obrázky a dokumenty, nie súbory PHP.wp-config.php: ďalšie riadkyincludealeborequirena začiatku alebo na konci..htaccessa.user.inivo webovom adresári a v podpriečinkoch: neočakávané presmerovania alebo automaticky predpripravené súbory.- Súbory v hlavnom adresári, ktorých názvy pripomínajú jadrové súbory WordPressu, ale nepatria k nemu.
# Súbory PHP v priečinku s uploadmi
find wp-content/uploads -type f -name "*.php*"
# Obsah Must-Use pluginov
ls -la wp-content/mu-plugins/
# Všetky súbory .htaccess a .user.ini s dátumom zmeny
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Nedávno zmenené súbory PHP
find . -type f -name "*.php" -newermt "2026-10-17" -ls
Všeobecné vzory vyhľadávania pre zahmlený kód popisuje príručka Rozpoznať webshell a odstrániť ju.
Skontrolovať používateľov, databázu a plánované úlohy
Mnohé backdoory vôbec neležia v súborovom systéme. Ďalší administrátorský účet často útočníkom stačí, aby sa neskôr vrátili.
# Všetci administrátori s dátumom registrácie
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Plánované úlohy vo WordPresse
wp cron event list
# Adresa stránky (manipulácie vedú k presmerovaniam)
wp option get siteurl
wp option get home
# Príspevky s vloženými skriptmi
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
Skontrolujte aj nastavenia s nezvyčajne veľkým obsahom a widgety s cudzím kódom. Nálezy automaticky neznamenajú útok, pretože skripty používajú aj sledovacie kódy alebo vložené mapy. Rozhodujúce je, či obsah niekto v tíme pozná.
Po nájdení vymeňte všetky heslá a bezpečnostné kľúče v wp-config.php. Inak zostanú existujúce prihlásenia útočníkov platné.
Zatvoriť backdoory a zabrániť návratu
Ak ste backdoor našli, nová inštalácia je zvyčajne bezpečnejšia než opravovanie jednotlivých súborov. Osvedčilo sa toto poradie:
- Zabezpečiť stopy: uložiť logy, podozrivé súbory a export databázy s dátumom.
- PHP dostať na opravený stav a reštartovať všetky procesy PHP.
- Jadro WordPressu, pluginy a témy nainštalovať čerstvo z originálnych zdrojov.
- Uploady a databázu prevziať po kontrole, cudzie účty zmazať, vymeniť všetky prístupy.
- Spúšťanie PHP v priečinku s uploadmi zakázať na úrovni servera.
Pre Nginx na to stačí blok v konfigurácii servera:
location ~* ^/wp-content/uploads/.*\.php$ {
deny all;
}
Pri Apache dosiahnete to isté pravidlom v konfigurácii servera pre priečinok s uploadmi. Súbor .htaccess priamo v priečinku s uploadmi je slabší, pretože ho útočník s právami na zápis môže opäť zmeniť.
Po vyčistení počítajte s niekoľkými týždňami prísnejšieho sledovania. Noví administrátori, nové súbory PHP a zmeny v wp-config.php by mali v tomto čase okamžite zaujať, napríklad pravidelnou kontrolou cez WP-CLI alebo monitorovaním súborov na serveri.
Ako následne nastaviť práva k súborom tak, aby mohol WordPress zapisovať iba tam, kde je to nevyhnutné, ukazuje príručka Práva k súborom na webovom serveri.
Ako konkrétne pomáha PHP SOS?
- Stav inštalácie zabezpečíme skôr, než sa niečo zmení.
- Jadro, pluginy, témy, databázu, účty a konfiguráciu servera skontrolujeme na backdoory.
- WordPress nasadíme odznova z čistých zdrojov a prevezmeme iba preverený obsah.
- Server a inštaláciu spevníme a zdokumentujeme, čo sa našlo a odstránilo.
Priebeh vyčistenia popisuje služba Nechať odstrániť malvér a webshelly.
Časté otázky
Uzatvorí aktualizácia WordPressu zraniteľnosť PHP2Shell?
Nie. PHP2Shell sídli v interpreteri PHP, nie vo WordPresse. Aktualizácia WordPressu, tém alebo pluginov na tom nič nemení; rozhodujúci je stav PHP na serveri a reštart všetkých procesov PHP.
Nájde bezpečnostný plugin všetky backdoory?
Nie spoľahlivo. Plugin beží vo vnútri kompromitovanej inštalácie a môže byť sám zmanipulovaný. Doplňte ho kontrolami zvonku, napríklad kontrolnými súčtami WP-CLI a porovnaním s čistými originálnymi súbormi.
Čo sú mu-plugins a prečo sú podozrivé?
Must-Use pluginy v priečinku wp-content/mu-plugins sa načítavajú automaticky a nezobrazujú sa v bežnom zozname pluginov. Útočníci to radi využívajú, pretože prevádzkovatelia tento priečinok len zriedka kontrolujú.
Môže byť backdoor aj v databáze?
Áno. Škodlivý kód alebo presmerovania sa často ukladajú do nastavení, príspevkov alebo widgetov. Útočníci navyše často zakladajú vlastné administrátorské účty, ktoré nájdete v tabuľke používateľov.