Jak usunąć wirusa z WordPress? Odwirusowanie strony krok po kroku

Zainfekowana strona to jedna z niewielu sytuacji w WordPressie, w których liczy się każda godzina. Google potrafi oznaczyć witrynę jako niebezpieczną w kilka chwil, a wtedy zamiast oferty klient widzi czerwony ekran ostrzeżenia - i ucieka. Dobra wiadomość: w większości przypadków stronę da się wyczyścić bez jej utraty. Zła: trzeba to zrobić we właściwej kolejności, inaczej łatwo skasować dane albo przeoczyć ukryte wejście, przez które atak wróci za kilka dni.

Poniżej pokazuję, jak podchodzę do odwirusowania strony WordPress: od rozpoznania infekcji, przez bezpieczne czyszczenie, po zabezpieczenie przed nawrotem. To ten sam proces, który stosuję w praktyce przy usuwaniu wirusów z WordPress u klientów.

Po czym poznać, że strona jest zainfekowana

Infekcja nie zawsze jest widoczna gołym okiem - część ataków ukrywa się przed właścicielem, a pokazuje tylko robotom Google albo użytkownikom z wyszukiwarki. Najczęstsze sygnały:

• Ostrzeżenie Google („Strona wprowadzająca w błąd" lub „Ta witryna może wyrządzić szkody") przed wejściem.
• Przekierowania na obce strony - zwłaszcza gdy wchodzisz z wyników Google albo z telefonu.
• Spamowe treści i linki, których nie dodawałeś - często do aptek, kasyn czy podejrzanych sklepów.
• Nagły spadek pozycji i ruchu bez zmian z Twojej strony - to często jedyny objaw cichej infekcji.
• Nieznani użytkownicy z uprawnieniami administratora w panelu.
• Alerty od hostingu o złośliwych plikach lub wysyłce spamu z serwera.

Jeśli widzisz choć jeden z tych objawów, traktuj to poważnie. Zainfekowana strona nie tylko szkodzi wizerunkowi - potrafi realnie skasować efekty miesięcy pracy nad pozycjami.

Zanim zaczniesz - jedna zasada

Najważniejsza reguła całego procesu: najpierw kopia, potem czyszczenie. Zanim ruszysz jakikolwiek plik, zrób pełny backup - plików i bazy danych. Nawet zainfekowana kopia jest cenna: pozwala wrócić, gdyby czyszczenie poszło za daleko, i daje materiał do analizy, skąd przyszła infekcja. Druga zasada: pracuj na stronie w trybie serwisowym albo na kopii, żeby nie „naprawiać" witryny na oczach odwiedzających i Google.

Krok po kroku: jak usuwam wirusa

1. Kopia zapasowa i izolacja

Pełny backup plików i bazy trafia w bezpieczne miejsce, poza serwerem. Strona idzie w tryb serwisowy, żeby nie pokazywać zainfekowanej treści i nie zbierać kolejnych ostrzeżeń od Google w trakcie naprawy.

2. Diagnoza i skan

Szukam źródła: plików zmienionych w podejrzanych datach, złośliwego kodu wstrzykniętego do rdzenia, motywu czy wtyczek, obcych plików PHP w katalogu uploads (tam nie ma prawa być kodu wykonywalnego) oraz nieznanych kont administratorów. Ważne jest nie tylko co zostało zainfekowane, ale jak atak wszedł - bez tego czyszczenie nie ma sensu.

3. Czyszczenie

Usuwam złośliwy kod i przywracam czyste, oryginalne pliki rdzenia WordPress, wtyczek i motywu. Treści i baza zostają - o ile infekcja ich nie dotknęła; jeśli tak, czyści się je punktowo. Kasuję backdoory, czyli ukryte furtki, które atakujący zostawiają, żeby wrócić nawet po pozornym wyczyszczeniu.

4. Zabezpieczenie

Zmieniam wszystkie hasła (panel, baza, FTP/hosting) i klucze bezpieczeństwa, aktualizuję WordPress, wtyczki i motyw do najnowszych wersji oraz zamykam konkretną lukę, przez którą przyszła infekcja - zwykle to przestarzała wtyczka albo słabe hasło. To najważniejszy etap, bo strona wyczyszczona, ale niezabezpieczona, zostaje zainfekowana ponownie w ciągu kilku dni. Więcej o zapobieganiu piszę w tekście o zabezpieczaniu strony na WordPress.

5. Weryfikacja i powrót do Google

Po czyszczeniu robię ponowny skan, żeby upewnić się, że nic nie zostało. Jeśli Google zdążył oznaczyć stronę, zgłaszam ją do ponownej weryfikacji w Search Console - dopiero wtedy ostrzeżenie znika z wyników. Na koniec: monitoring przez kilka dni, bo część infekcji ujawnia się dopiero po czasie.

Czego nie robić

• Nie kasuj plików na ślepo - bez kopii i bez wiedzy, co jest czyste, łatwo wywalić działającą stronę.
• Nie licz na samą wtyczkę bezpieczeństwa - pomaga wykryć, ale rzadko usuwa wszystko przy poważniejszym ataku.
• Nie ignoruj źródła - jeśli nie zamkniesz luki, wyczyszczenie samych objawów to strata czasu.
• Nie zwlekaj - im dłużej strona jest zainfekowana, tym gorsze skutki dla pozycji i zaufania.

Kiedy oddać to specjaliście

Prostą infekcję (jeden zmieniony plik, świeży atak) da się ogarnąć samodzielnie, jeśli czujesz się pewnie w plikach i bazie. Ale gdy strona jest zarobkowa, atak jest poważny albo ostrzeżenie Google już wisi - liczy się czas i pewność, że nie został żaden backdoor. Wtedy taniej i bezpieczniej jest zlecić to komuś, kto robi to regularnie. Jeśli Twoja strona jest zainfekowana, napisz do mnie - odwiruzuję ją, zabezpieczę i przywrócę zaufanie Google. Diagnoza jest bezpłatna.

Najczęstsze pytania

Po czym poznać, że strona WordPress ma wirusa?

Po ostrzeżeniu Google, przekierowaniach na obce strony, spamowych treściach, nagłym spadku pozycji, nieznanych użytkownikach w panelu i alertach od hostingu. Czasem infekcję widzi tylko Google - stąd nagły spadek ruchu bez wyraźnej przyczyny.

Czy da się usunąć wirusa bez utraty strony?

W większości przypadków tak - pod warunkiem, że zaczniesz od pełnej kopii zapasowej, a dopiero potem czyścisz. Usuwa się złośliwy kod i przywraca czyste pliki, zachowując treści i bazę.

Ile trwa odwirusowanie?

Prosta infekcja to kilka godzin, poważniejsza - 1-2 dni razem z zabezpieczeniem i zgłoszeniem do Google. Najwięcej czasu zajmuje upewnienie się, że nie został żaden ukryty backdoor.

Czy wtyczka bezpieczeństwa wystarczy?

Pomaga wykryć i wyczyścić część infekcji, ale przy poważniejszym ataku rzadko wystarcza. Po skanie zawsze trzeba ręcznie zamknąć lukę, przez którą przyszedł atak.