Na kratko: Če vaša stran WordPress kaže tuje vsebine, preusmerja ali je nenadoma počasna, izhajajte iz resnega primera in se javite zdaj. Prevzamemo že od prvega sporočila: zavarovanje sledi, blokada dostopov, iskanje stranskih vrat, čiščenje strani in dokumentacija incidenta. Vse na daljavo, brez prihoda na kraj.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Kdor odstrani vtičnike ali obnovi varnostno kopijo, preden je vse zavarovano, uniči sledi vdora. Ste prizadeti? Pokličite ali pišite po WhatsAppu ali uporabite neposredno Prijavo nujnega primera.
Je vaš WordPress vdrt?
Napad na WordPress ni vedno opazen. Ti znaki govorijo za ogroženost:
- obiskovalci so preusmerjeni na tuje strani, oglase ali lažne spletne trgovine, pogosto samo iz telefona ali iz iskalnikov
- v Googlu se pojavljajo strani v vašem imenu z besedili o farmaciji, igrah na srečo ali v tujih jezikih, glej Nezaželena vsebina SEO v Googlovem indeksu
- na nadzorni plošči so skrbniki, ki jih ni ustvaril nihče, ali gesel nenadoma ni več mogoče ponastaviti
- v mapi
wp-content/uploadsležijo datoteke.php, ki tam nimajo kaj iskati (kako take najdbe razlagate) - pojavijo se vtičniki ali teme, ki jih nikoli niste namestili, ali sami spet izginejo
- vaš ponudnik gostovanja sporoča pošiljanje nezaželene pošte, visoko obremenitev ali blokira stran
- brskalnik ali Google prikazujeta opozorilo pred vašo stranjo
Več znakov na ravni strežnika najdete v prispevku Ali sem že ogrožen?.
Kaj storite takoj
- Stran preklopite v vzdrževalni način ali jo odklopite z omrežja, če so obiskovalci ogroženi. Datotek pri tem ne spreminjajte.
- Ničesar ne odstranjujte in ne brišite datotek. Tudi vtičnikov ne, ki delujejo sumljivo.
- Dajte zavarovati dnevnike: Prosite ponudnika gostovanja, naj ne prepiše dnevnikov dostopa in napak. Strokovni tisk svetuje hrambo strežniških dnevnikov od 20. 10. 2026 naprej.
- Zberite dostope: Kdo ima skrbniški dostop do WordPressa, FTP, SSH, upravljalno ploščo gostovanja in zbirko podatkov? To zapišite, gesla pa zamenjajte šele po dogovoru in s čiste naprave.
- Preverite poštne predale: Račun, ki je pri WordPressu naveden kot skrbniški naslov, je mogoče uporabiti za ponastavitev gesel.
- Obvestite udeležene: Vodstvo, pooblaščenca za varstvo podatkov in po potrebi zavarovalnico.
- Javite se nam, preden posegate še naprej sami.
Kako PHP SOS pomaga pri vdrti strani WordPress?
- Ocena stanja: Razjasnimo, kaj vidite, kateri vtičniki in teme tečejo, kdo je imel dostop in kje stoji strežnik.
- Zavarovanje in zapiranje: Datoteke, zbirka podatkov in dnevniki se zavarujejo, sumljivi dostopi blokirajo, stran se po potrebi izolira.
- Preverjanje in čiščenje: Jedrne datoteke primerjamo z izvirnikom (kako to deluje, razlaga ta prispevek), stranska vrata iščemo v vtičnikih, temah, naloženih datotekah in zbirki podatkov ter jih odstranimo. Postopek ustreza naši storitvi odstranjevanje zlonamerne kode in webshellov.
- Utrjevanje in poročilo: Preverijo se stanje PHP, pravice, zaščita skrbnikov in posodobitve. Prejmete poročilo s časovnico, najdbami in priporočili.
Posodobitev WordPressa proti PHP2Shell: zakaj ne zadostuje
Mnogi upravljavci mislijo, da je z najnovejšo različico WordPressa vse opravljeno. To ne drži. PHP2Shell, torej CVE-2026-109618 in CVE-2026-109619, sedi v interpreterju PHP, na katerem teče WordPress. Odpravljeno je v PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Po navedbah Dr. Web WordPress.org zanjo ne načrtuje lastne posodobitve. Odločilno je izvajalno okolje PHP na vašem strežniku; več o tem v prispevku Zakaj posodobitev WordPressa ne pomaga in na strani WordPress in PHP2Shell.
Prav tako velja: popravek PHP ne odstrani škodljive kode, ki je bila že vnesena. Oboje je treba preveriti skupaj.
Stranska vrata v WordPressu: kje se skrivajo
Napadalci dostope radi odložijo tja, kamor se redko pogleda: v vtičnike Mu, v datoteke teme, kot je functions.php, v mape s slikami z dvojno končnico datoteke, v tabelo wp_options ali v načrtovana opravila WordPressa. Podrobnosti in poti preverjanja najdete na strani Iskanje stranskih vrat v WordPressu. Po čiščenju je treba vsak skrbniški dostop zavarovati z dvostopenjskim preverjanjem.
Če Google ali brskalnik vašo stran označi kot nevarno, najprej odpravimo vzrok in nato podpremo ponovni pregled. Postopek opisuje stran Odstranitev Googlovega opozorila.
Kako stran spet sprostimo
Stran WordPress gre nazaj v omrežje šele, ko so jedrne datoteke, vtičniki in tema preverjeni, dostopni podatki in ključi v konfiguraciji obnovljeni in ne obstaja več noben sumljiv uporabnik. Nato javno stran preverimo z vidika obiskovalca, tudi iz telefona, ker se nekatere preusmeritve pojavijo samo tam. Nato za naslednje tedne priporočamo strožji nadzor. Zagotovila, da stran nikoli več ne bo napadena, ni, je pa dokumentirano, preverjeno stanje.
Kaj nam pošljite
- naslov strani in, če je znan, ponudnika gostovanja
- od kdaj in po čem ste kaj opazili
- posnetke zaslona opozoril, preusmeritev ali tujih skrbniških računov
- seznam vtičnikov in teme, kolikor je znano
- stanje zadnje varnostne kopije
Dostopnih podatkov prosimo ne pošiljajte po e-pošti brez poziva; varno pot uskladimo z vami.
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Imate sogovornika, ki vaš primer spremlja od prvega sporočila do zaključka. Delamo na daljavo po vsej Nemčiji in Evropi, dokumentiramo vsak korak in obljubljamo le tisto, kar je mogoče izpolniti: delamo, dokler incident ni zaključen in dokumentiran. Če bi bili lahko prizadeti osebni podatki, vam poročilo pomaga tudi pri prijavi po GDPR; pravna ocena ostaja pri vašem pooblaščencu za varstvo podatkov. Celotno storitev opisuje stran Vdrta spletna stran: nujna pomoč.
Ste prizadeti? Pokličite nas. Pomagamo.
Če se vaša stran WordPress obnaša sumljivo, ne čakajte na naslednjo nenavadnost. Javite se zdaj, s klicem ali po WhatsAppu, in prevzamemo že od prvega sporočila. Prijavite nujni primer zdaj
Pogosta vprašanja
Ali zadostuje posodobitev WordPressa in vseh vtičnikov, če je bila stran vdrta?
Ne. Posodobitev zapre vrzeli za prihodnost, ne odstrani pa stranskih vrat, ki že ležijo na strežniku. Poleg tega ranljivost PHP2Shell sedi v interpreterju PHP, ne v WordPressu. Po poročilih WordPress.org zanjo ne načrtuje lastne posodobitve.
Ali lahko obnovim staro varnostno kopijo in je s tem konec?
Le previdno. Kdor ne pozna časa vdora, morda obnovi že okužene datoteke. Poleg tega vstopna točka ostane odprta, če je nihče ni našel. Najprej zavarovati, nato oceniti, nato obnoviti.
Po čem prepoznam nevidni skrbniški račun v WordPressu?
Nekateri računi se ne prikažejo na seznamu uporabnikov, ker škodljiva koda filtrira izpis. Več pokaže primerjava neposredno v zbirki podatkov in primerjava z znanimi osebami. To sodi v čiščenje, ki ga prevzamemo mi.
Zakaj se škodljiva koda po brisanju venomer znova pojavi?
Takrat običajno obstajajo druga stranska vrata ali mehanizem, ki datoteke znova naloži, na primer načrtovano opravilo ali manipulirane datoteke v nenavadnih mapah. Kdor briše samo vidne simptome, se bori proti znaku, ne proti vzroku.
Koliko stane, če Google mojo stran WordPress označi kot nevarno?
To je odvisno od obsega in truda in se da povedati šele po prvi oceni. Smiselno je najprej odpraviti vzrok in nato zaprositi za ponovni pregled pri Googlu.