Kort sagt: Om er WordPress-webbplats visar främmande innehåll, omdirigerar eller plötsligt är långsam, utgå från att det är allvar och hör av er nu. Vi tar över från första meddelandet: säkra spår, spärra åtkomster, söka bakdörrar, rensa webbplatsen och dokumentera incidenten. Allt på distans, utan resor.
Radera ingenting och installera inte om något nu. Den som tar bort plugin eller återställer säkerhetskopian innan allt har säkrats förstör spåren efter intrånget. Berörs ni? Ring eller skriv via WhatsApp, eller använd direkt Anmäl nödläge.
Är er WordPress hackat?
Ett angrepp mot WordPress märks inte alltid. Dessa tecken talar för en komprometterad webbplats:
- Besökare omdirigeras till främmande sidor, reklam eller falska butiker, ofta bara från mobilen eller från sökmotorer
- i Google visas sidor i ert namn med texter om läkemedel, spel eller på främmande språk, se SEO-skräppost i Googles index
- i dashboarden finns administratörer som ingen har skapat, eller lösenord går plötsligt inte längre att återställa
- i mappen
wp-content/uploadsligger.php-filer som inte hör hemma där (så tolkar ni sådana fynd) - plugin eller teman dyker upp som ni aldrig har installerat, eller försvinner av sig själva igen
- ert webbhotell rapporterar skräppostutskick, hög belastning eller spärrar webbplatsen
- webbläsare eller Google visar en varning för er webbplats
Fler tecken på servernivå står under Är jag redan komprometterad?.
Det här gör ni direkt
- Sätt webbplatsen i underhållsläge eller ta den offline om besökare är utsatta. Låt filerna vara oförändrade.
- Avinstallera ingenting och radera inga filer. Inte heller plugin som verkar misstänkta.
- Låt loggarna säkras: Be ert webbhotell att inte skriva över åtkomst- och felloggar. Fackpressen rekommenderar att serverloggar sparas från och med den 20 oktober 2026.
- Samla åtkomsterna: Vem har WordPress-admin, FTP, SSH, hostingpanel och databas? Anteckna det, men byt lösenord först efter överenskommelse och från en ren enhet.
- Kontrollera e-postkontona: Kontot som är angivet som admin-adress i WordPress kan användas för att återställa lösenord.
- Informera berörda: Ledningen, dataskyddsombudet och eventuellt försäkringsbolaget.
- Hör av er till oss innan ni ingriper själva ytterligare.
Hur hjälper PHP SOS vid en hackad WordPress-webbplats?
- Kartlägga läget: Vi klarlägger vad ni ser, vilka plugin och teman som körs, vem som hade åtkomst och var servern står.
- Säkra och stänga: Filer, databas och loggar säkras, misstänkta åtkomster spärras, webbplatsen skärmas vid behov av.
- Granska och rensa: Vi jämför kärnfilerna med originalet (hur det går till förklarar det här inlägget), söker bakdörrar i plugin, teman, uppladdningar och databas och tar bort dem. Tillvägagångssättet motsvarar vår tjänst Ta bort skadlig kod och webshells.
- Härda och rapportera: PHP-nivå, rättigheter, adminskydd och uppdateringar kontrolleras. Ni får en rapport med tidslinje, fynd och rekommendationer.
WordPress-uppdatering mot PHP2Shell: varför den inte räcker
Många driftansvariga tror att allt är klart med den senaste WordPress-versionen. Det stämmer inte. PHP2Shell, alltså CVE-2026-109618 och CVE-2026-109619, finns i PHP-tolken som WordPress körs på. Det är åtgärdat i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Enligt Dr. Web planerar WordPress.org ingen egen uppdatering för det. Avgörande är PHP-körmiljön på er server; mer om detta i Varför en WordPress-uppdatering inte hjälper och på sidan WordPress och PHP2Shell.
Likaså gäller: En PHP-patch tar inte bort skadlig kod som redan har förts in. Båda måste granskas tillsammans.
Bakdörrar i WordPress: var de gömmer sig
Angripare lägger gärna åtkomster där man sällan tittar: i mu-plugin, i temafiler som functions.php, i bildmappar med dubbel filändelse, i tabellen wp_options eller i WordPress schemalagda uppgifter. Detaljer och kontrollvägar finns under Hitta bakdörrar i WordPress. Efter rensningen bör varje adminåtkomst skyddas med tvåfaktorsinloggning.
Markeras er webbplats som farlig av Google eller en webbläsare avlägsnar vi först orsaken och stödjer därefter vid granskningen. Tillvägagångssättet beskrivs i Ta bort Google-varning.
Så släpper vi webbplatsen igen
En WordPress-webbplats går först tillbaka ut på nätet när kärnfiler, plugin och tema har granskats, inloggningsuppgifter och nycklar i konfigurationen har förnyats och ingen misstänkt användare längre finns kvar. Därefter kontrollerar vi den offentliga webbplatsen ur en besökares perspektiv, även från mobilen, eftersom vissa omdirigeringar bara förekommer där. Sedan rekommenderar vi en tätare kontroll de närmaste veckorna. Något löfte om att webbplatsen aldrig angrips igen finns inte, men ett dokumenterat, granskat läge.
Det här bör ni skicka till oss
- webbplatsens adress och, om den är känd, webbhotellet
- sedan när och på vad ni har märkt något
- skärmbilder av varningar, omdirigeringar eller främmande adminkonton
- en lista över plugin och tema, i den mån den är känd
- läget för den senaste säkerhetskopian
Skicka inte inloggningsuppgifter oombedda via e-post; vi stämmer av den säkra vägen med er.
Varför PHP SOS
Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni har en kontaktperson som följer ert ärende från första meddelandet till avslutet. Vi arbetar på distans i hela Europa, dokumenterar varje steg och lovar bara det som går att hålla: Vi arbetar tills incidenten är avslutad och dokumenterad. Om personuppgifter kan ha påverkats hjälper rapporten er också vid anmälan enligt GDPR; den juridiska bedömningen ligger kvar hos ert dataskyddsombud. Hela tjänsten beskrivs på sidan Webbplats hackad: nödhjälp.
Berörs ni? Ring oss. Vi hjälper er.
Om er WordPress-webbplats beter sig misstänkt, vänta inte på nästa avvikelse. Hör av er nu, via samtal eller WhatsApp, så tar vi över från första meddelandet. Anmäl nödläge nu
Vanliga frågor
Räcker det att uppdatera WordPress och alla plugin om webbplatsen har hackats?
Nej. En uppdatering stänger sårbarheter för framtiden men tar inte bort en bakdörr som redan ligger på servern. Dessutom: PHP-sårbarheten PHP2Shell sitter i PHP-tolken, inte i WordPress. Enligt rapporter planerar WordPress.org ingen egen uppdatering för den.
Kan jag återställa en gammal säkerhetskopia och därmed vara klar?
Bara med försiktighet. Den som inte känner till tidpunkten för intrånget återställer kanske redan infekterade filer. Dessutom förblir ingångsporten öppen om ingen har hittat den. Först säkra, sedan bedöma, sedan återställa.
Hur känner jag igen ett osynligt adminkonto i WordPress?
Vissa konton visas inte i användarlistan eftersom skadlig kod filtrerar utdata. En avstämning direkt i databasen och en jämförelse med kända personer visar mer. Det ingår i den rensning som vi tar hand om.
Varför dyker den skadliga koden upp igen efter att jag har raderat den?
Då finns oftast en andra bakdörr eller en mekanism som laddar ned filer på nytt, till exempel en schemalagd uppgift eller manipulerade filer i ovanliga mappar. Den som bara raderar synliga symtom bekämpar tecknet och inte orsaken.
Vad kostar det om Google markerar min WordPress-webbplats som farlig?
Det beror på omfattning och arbetsinsats och går att säga först efter en första bedömning. Det är lämpligt att först avlägsna orsaken och därefter begära en ny granskning hos Google.