🔍 16 Märki, et WordPress on häkitud: ilmselgest varjatuni

Sait näib töötavat. Kuid liiklus on poole võrra kukkunud, administraatori paneeli on ilmunud tundmatud kasutajakontod ja host saadab pidevalt murettekitavate teemaridadega e-kirju. WordPressi häkkimine ei näe harva välja nagu purustatud vaateaken. Sagedamini on need vaiksed, peened muutused, mis jäävad kuudeks märkamata.

Wordfence'i andmetel registreeriti 2025. aastal üle 11 000 haavatavuse pistikprogrammides ja teemades ning robotid skannivad värskeid auke keskmiselt viie tunni jooksul pärast paiga avaldamist. Hea uudis: kui tead, kust otsida, saad nakatumise varajases staadiumis tabada.

Allpool on 16 konkreetset märki, alates silmatorkavatest kuni vaevumärgatavateni, ning samm-sammuline taasteplaan.

💡 Kiire ülevaade:

• Kontrolli oma hostingu e-kirju, kasutajate nimekirja ja saidi juurkausta FTP kaudu: need on kolm punkti, kus häkkimine on koheselt nähtav.
• Inspekteeri esiosa: muudetud sisu, ümbersuunamised kolmandate osapoolte saitidele, Google'i turvalise sirvimise hoiatus ja rämpspostitused.
• Uuri liiklust, otsingutulemusi ja turvalisuse skannerit: külastuste langus, võõrad metasildid Google'is ja Wordfence'i hoiatused.
• Kaudsed sümptomid: aeglustumine, serveri ülekoormus, kahtlased cron-tööd ja seletamatud vead on põhjus koheseks kontrolliks.

Miks WordPress on peamine sihtmärk

WordPress jooksutab 41% kõigist veebisaitidest, vastavalt W3Techsi 2026. aasta juuli andmetele. Kümned tuhanded pistikprogrammid ja teemad loovad tohutu ründepinna. Robot leiab populaarses pistikprogrammis haavatavuse ja pühib üleöö läbi sadu tuhandeid installatsioone: üheksa nakatumist kümnest toimub ilma inimese sekkumiseta.

1-4. Juurdepääs ja server: esimesed hoiatavad märgid

Hostingu teavitus pahatahtlikust koodist

Enamik hoste skannib saite viiruste ja andmepüügi suhtes. E-kiri teemareaga „Tuvastati pahavara" või „Kahtlane tegevus": reageeri kohe, hostil on õigus sait karantiini panna.

E-kiri täpsustab tavaliselt nakatunud faili asukoha, mis annab sulle puhastamiseks valmis lähtepunkti.

Tundmatud kasutajad administraatori paneelis

Ava Kasutajad → Kõik kasutajad. Iga administraatori, toimetaja või autori õigustega konto peaks sulle tuttav olema. Tundmatud kontod on ohumärk, eriti need, millel on tellijast kõrgemad õigused.

Kustuta võõrad, kuid kontrolli esmalt, kas nad lõid sisu: WordPress pakub nende postituste teisele autorile ümbermääramist. Pärast puhastamist vaheta kõik paroolid: administraatori paneel, FTP, andmebaas ja hostingu juhtpaneel.

Administraatori paneelist väljalülitamine

Sinu parool lakkas äkitselt töötamast ja sa ei muutnud seda. Ründaja võis volitusi muuta või luua varjatud administraatori otse andmebaasi kaudu.

Taasta juurdepääs lingi Kaotasid parooli? kaudu või phpMyAdminis, lähtestades räsi tabelis wp_users. Kohe pärast sisselogimist: kontode täielik audit ja paroolide vahetamine kõikjal: WP, FTP, hosting, andmebaas.

Kahtlased failid serveris

Vaata installatsiooni juurkausta, samuti katalooge wp-admin, wp-includes ja wp-content. Failid nagu wp-config.bak, class-mail.php või db-cache.php on klassikalised „sissetungijad", mida kasutatakse pahatahtliku koodi laadimiseks. Tüüpilist juhtumit kirjeldatakse Stack Overflow's: võõras PHP-fail juurkaustas, maskeeritud süsteemifailiks.

Kui leiad kahtlase faili, on ründajal juurdepääs failisüsteemile. Vaheta FTP parool, kustuta võõrad failid ja alusta sisenemispunkti otsimist.

5-8. Esiosa ja sisu: mida külastajad näevad

Muudetud saidi sisu

Kõige märgatavam ja mainet kahjustavam märk. Kolm tüüpilist ilmingut:

• Jaapani, hiina või araabia tähemärgid lehe tekstis;
• hüpikaknad pornoreklaamide või kasiinopakkumistega;
• peidetud lingid kahtlastele saitidele, nähtavad ainult lähtekoodis.

Kontrolli avalehte ja mitut sisulehte erinevates brauserites. Peidetud lingid lisatakse display:none või position:absolute; left:-9999px abil; sa ei märka neid lähtekoodi vaatamata.

Ümbersuunamine kolmandate osapoolte saitidele

Kasutaja avab sinu URL-i ja satub reklaamide, andmepüügi või võltsitud poe lehele. Ümbersuunamine on seadistatud .htaccess-i, JavaScripti süsti header.php-sse või peidetud pistikprogrammi kaudu.

Kontrolli .htaccess-i tundmatute RewriteRule ja Redirect direktiivide suhtes. Ava sait mobiilseadmest: mõned ümbersuunamised käivituvad ainult mobiilse liikluse korral.

Google'i hoiatus ebaturvalise saidi kohta

Külastamisel näeb kasutaja punast ekraani: „See sait võib sisaldada kahjulikke programme."

Kontrolli olekut Google'i turvalise sirvimise kaudu. Kui sait on märgistatud, tee täielik puhastus ja taotle ülevaatust Google Search Console'i kaudu. Ilma selleta langeb sinu asetus mõne päeva jooksul nulli.

Rämpspostitused sinu domeenilt

Tuttavad kurdavad, et sinu aadressilt tuleb rämpsposti. Ohustatud sait saadab peidetud PHP-skriptide kaudu tuhandeid e-kirju, kasutades sinu domeeni. Host võib blokeerida meilifunktsiooni või kogu konto.

Kontrolli saatmislogisid oma hostingu paneelis ja skanni saiti peidetud mail() väljakutsete suhtes tundmatutes PHP-failides.

9-12. Liiklus, otsing ja turvalisus

Äkiline liikluse langus

Orgaaniline liiklus Google'ist on ilma nähtava põhjuseta järsult langenud: otsingumootor võis saidi tulemustest madalamale tõsta või eemaldada.

Võrdle Google Search Console'i graafikut jaotiste Turvaprobleemid ja Käsitsi toimingud kuupäevadega. Ajaline kokkulangevus on garantii häkkimisest.

Moonutatud metaandmed otsingutulemustes

Sa guugeldad oma saiti ja näed tulemustes jaapani tähemärke, linke Viagrale või kummalisi kirjeldusi. See on Jaapani SEO rämpspost: häkker süstib peidetud linke ja kirjutab metasildid ümber, et reklaamida oma kaupu.

Kontrolli lähtekoodi Ctrl+U kaudu: otsi tundmatuid <title>, <meta name="description"> ja peidetud linke. Need lisatakse sageli otse header.php-sse või pahatahtliku pistikprogrammi kaudu.

Turvaskanneri hoiatus

Wordfence, Solid Security ja sarnased tööriistad skannivad faile pahatahtliku koodi signatuuride suhtes. E-kiri teemareaga „Skannimise tulemused: leiti 3 kriitilist probleemi" ei ole valehäire. Suhtu sellesse sama tõsiselt kui hostingu teavitusse.

Skanner näitab faili ja ohu tüüpi: tagauks, andmepüük, rämpsposti süstimine.

Blokeeritud viirusetõrje või reklaamiblokeerija poolt

Külastaja viirusetõrje või uBlock Origin blokeerib äkki sinu saidi. See on väga varajane signaal: blokeerijate allkirjad uuenevad kiiremini kui Google lehti indekseerib ja hoiatus ilmub mitu päeva enne punast Safe Browsing ekraani.

Palu sõbral, kellel on viirusetõrje sisse lülitatud, saiti külastada. Täpne hoiatustekst ütleb sulle, milline fail või domeen tuvastuse käivitas.

13-16. Kaudsed sümptomid

Kahtlased cron-ülesanded

WP-Cron ajastab postitusi, kontrollib uuendusi, saadab e-kirju. Häkkerid lisavad oma ülesandeid: rämpsposti saatmine, käsu- ja juhtserveriga ühenduse võtmine, pahavara allalaadimine.

Kontrolli cron-ülesandeid WP Crontrol pluginaga või wp_options tabelist cron võtme alt. Tundmatu ülesanne kahtlase nime ja 60-sekundilise intervalliga on alus koheseks uurimiseks.

Lehe aeglustumine ilma nähtava põhjuseta

Leht laeb äkitselt mitu korda aeglasemalt kui tavaliselt. Pahatahtlikud skriptid kaevandavad krüptoraha, saadavad rämpsposti või osalevad DDoS-rünnakutes teiste ressursside vastu. Kontrolli koormust oma majutuspaneelist: protsessor, mis töötab peaaegu täisvõimsusel tavalise liikluse juures, viitab volitamata tegevusele.

Serveri ülekoormus väikese liikluse korral

Sarnane stsenaarium: Google Analyticsi järgi on liiklus normaalne, kuid server lämbub. Serveri logid näitavad arvukaid POST-päringuid ühele failile, mis on tõenäoline tagauks rämpsposti saatmiseks või teiste lehtede brute-force ründamiseks.

Veateated ilma nähtava põhjuseta

Valge surmaekraan, 500 Internal Server Error, andmebaasiühenduse vead: pahatahtlik kood võis kahjustada süsteemifaile. Kui vead ilmuvad ja kaovad iseenesest, võib ründaja ajutiselt oma jälgi katta.

Luba WP_DEBUG failis wp-config.php ja kontrolli debug.log faili kaustas wp-content. Konkreetne veateade osutab sageli nakatunud failile.

Mida teha, kui su leht on häkitud: viis sammu

1. samm. Varunda kõik. Salvesta nakatunud leht sellisena, nagu see on, analüüsiks ja juhuks, kui puhastamise käigus midagi valesti läheb. Täielik failikoopia FTP kaudu ja andmebaasi tõmmis. Ära kustuta midagi enne varundamist.

2. samm. Isoleeri leht. Luba hooldusrežiim .maintenance faili või plugina abil. Külastajad ei tohi sattuda nakatunud lehtedele.

3. samm. Leia sisenemispunkt. Käivita turvaskanner, Wordfence või Sucuri SiteCheck, ja võrdle tulemusi serveri logidega. Sisenemispunkt on üheksal juhul kümnest aegunud plugin, turvaauguga teema või kompromiteeritud parool.

4. samm. Puhasta leht. Eemalda pahatahtlikud failid, asenda WordPressi tuumikfailid ametlikust arhiivist pärit värsketega, vaheta kõik paroolid ja salajased võtmed failis wp-config.php.

5. samm. Taotle uus kontroll. Esita leht Google Search Console'is uuesti kontrollimiseks, et punane ekraan eemaldada, ja teavita oma majutusteenuse pakkujat, et puhastamine on lõpetatud.

Kuidas kaitsta WordPressi häkkimise eest: mitmekihiline lähenemine

Üksik meede ei päästa, kuid viis kihti koos muudavad lehe botivõrkude jaoks majanduslikult ebahuvitavaks sihtmärgiks.

• Uuenda kõike, kohe. WordPressi tuumik, teemad, pluginad: iga paikamata komponent on potentsiaalne auk. Luba väiksemate versioonide automaatsed uuendused.
• Turvaplugin. Tasuta Wordfence katab põhitõed: tulemüür, skanner, kaitse brute-force sisselogimise vastu. Sellest piisab enamikule lehtedele.
• Üks leht, üks majutuskonto. Ühe lehe sissemurdmine jagatud kontol avab juurdepääsu kõigile neile. Isoleeri oma projektid.
• Regulaarsed varukoopiad. Igapäevased, automaatsed, salvestatud serveriväliselt. Ideaalis ühe klõpsuga taastamine.
• Tugevad paroolid ja kaheastmeline autentimine. 16+ märgiline parool ja 2FA Wordfence'i või Solid Security kaudu välistavad praktiliselt kõik brute-force katsed.

Kui video ei laadinud, ava see YouTube'is. Autor WPDev näitab kogu tsüklit: nakatumise tuvastamisest kuni käsitsi puhastamise ja kaitse seadistamiseni.

⁉️🤔 Korduma kippuvad küsimused

Kas ma saan lehe ise ära puhastada, ilma arendajata?

Jah, kui sa oled harjunud töötama FTP ja phpMyAdminiga. Plaan: varunda, Wordfence'i skaneering, eemalda nakatunud failid, asenda WordPressi tuumikfailid värsketega, vaheta kõik paroolid. Kui skanneri raport näitab rohkem kui tosinat faili või andmebaasis on tagauksi, võta ühendust spetsialistiga. Sucuri teenus pakub võtmed-kätte puhastust; kehtiv hinnakiri on nende lehel.

Wordfence või Solid Security: kumba kaitseks valida?

Wordfence võidab signatuuride kvaliteedi ja tasuta funktsioonide poolest: tulemüür, skanner, sisselogimiskaitse on kõik tasuta versioonis. Solid Security (endine iThemes Security, nimetati ümber 2024. aastal) on tugev turvameetmete rakendamisel, sulgedes automaatselt tüüpilised augud ilma käsitsi konfiguratsiooni muutmata. Väikesele lehele piisab tasuta Wordfence'ist. Veebimaksetega projekti jaoks Wordfence Premium koos reaalajas signatuuriuuendustega.

Kui tihti peaksin lehte viiruste suhtes skaneerima?

Igapäevane automaatne skaneerimine, vähemalt. Wordfence'i tasuta versioon teeb seda iga kolme päeva tagant; premium, iga päev. Kord nädalas käsitsi kontroll välise skanneriga nagu Sucuri SiteCheck on hea tava: minut aega, sõltumatu vaade.

Mida teha, kui majutusteenuse pakkuja on lehe juba blokeerinud?

Võta ühendust toega ja taotle ajutist juurdepääsu puhastamiseks; paljud majutajad pakuvad FTP-juurdepääsu isegi blokeeringu ajal. Järgi viiesammulist plaani, eemaldades esmalt failid, mille majutaja märgistas. Pärast puhastamist saada majutajale skaneerimistulemus või Sucuri raport.

Kui kaua võtab lehe taastamine pärast häkkimist aega?

Tüüpiline nakatumine, üks kuni kolm faili, rämpsposti süst: üks kuni kolm tundi, sealhulgas varundamine ja kontroll. Tõsine häkkimine tagauksedega andmebaasis: üks kuni kolm tööpäeva. Google'i pingeread taastuvad pärast punase ekraani eemaldamist mõnest päevast kuni kahe-kolme nädalani.

Häkkimine ei karju, see sosistab: mida meeles pidada

Majutaja e-kiri, tundmatu kasutaja administraatoripaneelil, järsk liikluse langus: iga signaali eraldi võib pidada juhuseks. Kuid kaks või kolm märki koos tähendavad peaaegu garanteeritud nakatumist.

Kontrolli kohe kolme punkti: kasutajate nimekiri administraatori paneelis, saidi juurkataloog FTP kaudu ja olek Google'i saidi kontrollimise tööriistas. Viis minutit. Kui kõik on puhas, seadista igapäevased varukoopiad ja automaatsed uuendused.

Kui leiad midagi kahtlast, ära lükka seda edasi. Iga päev kaotab nakatunud sait otsingupositsioone ja riskib majutusteenuse pakkuja poolt blokeerimisega. Jaga kommentaarides: kust alustasid puhastamist ja milline märk oli esimene punane lipp?