Google oznaczył Twoją stronę jako niebezpieczną. Hosting wysłał maila z ostrzeżeniem o złośliwym oprogramowaniu. Albo po prostu ktoś napisał, że po wejściu na stronę przekierowuje go do podejrzanej apteki internetowej. Cokolwiek to było, wiesz już jedno: WordPress został zainfekowany. I teraz liczy się czas, bo im dłużej wirus siedzi na serwerze, tym więcej szkód robi – od utraty pozycji w Google po zablokowanie strony przez hosting.
Ten artykuł prowadzi Cię krok po kroku przez cały proces: jak rozpoznać infekcję, jak ją usunąć samodzielnie (jeśli czujesz się na siłach) i jak zabezpieczyć stronę, żeby historia się nie powtórzyła.
Skąd wiesz, że masz wirusa na stronie?
Infekcje WordPress rzadko krzyczą “jestem tutaj”. Zwykle działają po cichu, więc warto znać sygnały ostrzegawcze:
- Google Search Console pokazuje ostrzeżenie o złośliwym oprogramowaniu lub stronie oznaczonej jako niebezpieczna
- Strona automatycznie przekierowuje odwiedzających na obce adresy (kasyna, apteki, strony z reklamami)
- Hosting wysłał informację o przekroczonych zasobach serwera lub podejrzanym ruchu
- W panelu WordPress pojawiają się użytkownicy administracyjni, których nie dodawałeś
- Strona ładuje się wolniej niż zwykle, bez wyraźnego powodu
- Wyszukiwarka pokazuje w wynikach dziwne, niezwiązane z Twoją stroną frazy (tzw. spam SEO)
- Antywirus przeglądarki blokuje wejście na stronę
Jeśli zaznaczyłeś choć jeden punkt – czas na działanie.
Pierwsze kroki po wykryciu infekcji
Zanim zaczniesz cokolwiek usuwać, zabezpiecz to, co masz.
Zrób kopię zapasową całej strony – nawet zainfekowanej. Brzmi dziwnie, ale jeśli coś pójdzie nie tak podczas czyszczenia, chcesz mieć punkt odwrotu. Backup rób osobno, nie nadpisuj nim dotychczasowych kopii.
Zmień wszystkie hasła – do panelu WordPress, FTP, bazy danych, konta hostingowego i poczty powiązanej z domeną. Wirusy często wykradają dane logowania, więc stare hasła traktuj jako skompromitowane.
Włącz tryb konserwacji lub tymczasowo wyłącz stronę – jeśli infekcja przekierowuje ruch albo rozsyła spam, każda minuta online to kolejni poszkodowani odwiedzający i gorsza opinia u Google.
Jak usunąć wirusa ze strony WordPress krok po kroku
- Przeskanuj stronę wtyczką zabezpieczającą
Zainstaluj jedną z wtyczek: Wordfence, Sucuri Security lub MalCare. Uruchom pełne skanowanie plików i bazy danych. Wtyczka wskaże Ci zainfekowane pliki i podejrzany kod – to najszybszy sposób, żeby zobaczyć skalę problemu.
- Porównaj pliki rdzenia WordPress z oryginałem
Pobierz świeżą kopię WordPressa w tej samej wersji, co masz na serwerze, i porównaj pliki w folderach
wp-adminiwp-includes. Wszystko, co się różni od oryginału, jest podejrzane. Najczęściej hakerzy dopisują złośliwy kod na początku lub końcu plików.php, więc szukaj też fragmentów typueval(),base64_decode()czygzinflate()– to typowe sposoby ukrywania złośliwego kodu. - Sprawdź folder wp-content/uploads
To miejsce na zdjęcia i pliki multimedialne, więc nie powinno tam być żadnych plików
.php. Jeśli je znajdziesz – to niemal na pewno wirus. Usuń je bez wahania. - Zajrzyj do pliku .htaccess
Hakerzy często dopisują tam reguły przekierowań albo maskujące złośliwy ruch. Jeśli nie rozpoznajesz jakiegoś fragmentu kodu, porównaj go z domyślną zawartością
.htaccessdla WordPressa i usuń wszystko, co nie pasuje. - Przejrzyj bazę danych
Zaloguj się do phpMyAdmin i sprawdź tabelę
wp_users– czy nie ma tam kont administratora, których nie zakładałeś. Sprawdź teżwp_optionspod kątem podejrzanych wpisów, np. w polachsiteurlczyhome, orazwp_posts, gdzie hakerzy czasem wstrzykują ukryty spamowy kod bezpośrednio do treści wpisów. - Wyczyść i usuń złośliwy kod
Po zidentyfikowaniu zainfekowanych plików masz dwie opcje: ręcznie usunąć złośliwe fragmenty (jeśli plik jest częściowo Twój, np. functions.php motywu) albo całkowicie zastąpić plik czystą wersją z oryginalnego źródła. Ta druga opcja jest bezpieczniejsza, jeśli nie masz pewności, że usunąłeś wszystko.
- Zaktualizuj WordPressa, motyw i wszystkie wtyczki
Infekcje najczęściej wchodzą przez nieaktualne oprogramowanie z lukami bezpieczeństwa. Zaktualizuj wszystko do najnowszych wersji i usuń wtyczki oraz motywy, których nie używasz – to potencjalne furtki.
Jak zabezpieczyć stronę po usunięciu wirusa?
Samo usunięcie infekcji to połowa roboty – bez zabezpieczeń wirus może wrócić w ciągu kilku dni.
| Działanie | Po co |
|---|---|
| Wtyczka firewall (Wordfence, Sucuri) | Blokuje podejrzany ruch i ataki brute-force zanim dotrą do strony |
| Silne, unikalne hasła + menedżer haseł | Eliminuje najprostszą drogę włamania |
| Uwierzytelnianie dwuskładnikowe (2FA) | Chroni panel admina nawet przy wykradzionym haśle |
| Regularne aktualizacje WordPressa i wtyczek | Zamyka znane luki bezpieczeństwa |
| Automatyczne kopie zapasowe poza serwerem | Pozwala szybko przywrócić stronę po kolejnym ataku |
| Ograniczenie liczby prób logowania | Utrudnia ataki słownikowe na panel logowania |
| Usunięcie nieużywanych wtyczek i motywów | Mniej kodu = mniej potencjalnych luk |
Kiedy lepiej zlecić to specjaliście
Jeśli infekcja jest głęboka, dotyczy sklepu WooCommerce z danymi klientów, albo po prostu nie czujesz się pewnie grzebiąc w plikach i bazie danych – nie ryzykuj. Źle przeprowadzone czyszczenie potrafi zostawić ukryte “tylne drzwi” (backdoory), przez które haker wróci za miesiąc, mimo że strona wygląda już czysto.
Profesjonalne usunięcie wirusa obejmuje pełne skanowanie, wyczyszczenie infekcji, wzmocnienie zabezpieczeń i monitoring strony przez 30 dni po zabiegu – dzięki temu masz pewność, że problem faktycznie zniknął, a nie tylko schował się głębiej. Jeśli wolisz mieć to z głowy, możesz zlecić usunięcie wirusa specjaliście zamiast ryzykować własnymi próbami.
Niezależnie od tego, czy poradzisz sobie sam, czy zlecisz to komuś innemu – najważniejsze, żeby nie zostawić strony bez zabezpieczeń po wyczyszczeniu. To najczęstszy błąd, który sprawia, że infekcja wraca.
Dobre praktyki aktualizacji WordPress, które ograniczają ryzyko infekcji
Usunięcie wirusa to gaszenie pożaru. Poniższe nawyki sprawiają, że pożar rzadziej wybucha:
- Aktualizuj natychmiast, nie “kiedyś” – większość infekcji wchodzi przez znane, załatane już luki w starych wersjach WordPressa, motywów i wtyczek. Włącz automatyczne aktualizacje tam, gdzie to możliwe.
- Instaluj wtyczki tylko z zaufanych źródeł – oficjalne repozytorium WordPress.org lub sprawdzeni producenci premium. Nulled (pirackie) wersje wtyczek to jedna z najczęstszych dróg zarażenia strony.
- Nie używaj konta “admin” jako loginu – to pierwsza nazwa, którą sprawdzają boty atakujące metodą brute-force.
- Ogranicz liczbę użytkowników z rolą Administrator – im mniej kont z pełnym dostępem, tym mniej potencjalnych furtek.
- Wybierz hosting z wbudowanym skanowaniem malware – dobrzy dostawcy hostingu WordPress wykrywają infekcje zanim zauważysz je sam.
- Rób kopie zapasowe automatycznie i przechowuj je poza serwerem – jeśli backup leży na tym samym serwerze co strona, wirus może zainfekować też jego.
- Regularnie przeglądaj listę zainstalowanych wtyczek i motywów – usuwaj te, których nie używasz. Nieaktywna wtyczka nadal jest furtką, jeśli nie jest aktualizowana.
FAQ – najczęstsze pytania o usuwanie wirusów z WordPress
Tak, jeśli nie zrobisz kopii zapasowej przed rozpoczęciem czyszczenia. Dlatego backup to zawsze pierwszy krok, nie ostatni.
Przy prostszej infekcji samodzielne czyszczenie zajmuje od kilku godzin do dnia. Głębokie infekcje z wieloma backdoorami mogą wymagać kilku dni pracy, szczególnie jeśli strona nie miała wcześniej żadnych zabezpieczeń.
Tylko jeśli backup pochodzi sprzed infekcji i masz pewność co do daty ataku. Przywrócenie backupu z zainfekowanego okresu po prostu wgra wirusa ponownie.
Po wyczyszczeniu strony możesz zgłosić prośbę o ponowną weryfikację w Google Search Console. Zwykle trwa to od kilku godzin do kilku dni, w zależności od obciążenia systemu Google.
Darmowe wersje Wordfence czy Sucuri dają solidną podstawę – firewall, skanowanie, blokadę prób logowania. Dla sklepu WooCommerce z danymi klientów warto rozważyć wersję płatną z dodatkowym monitoringiem.
Infekcja sama w sobie już szkodzi pozycjom – spamowe przekierowania i podejrzany kod obniżają zaufanie wyszukiwarki. Po wyczyszczeniu i zgłoszeniu do ponownej weryfikacji pozycje zwykle wracają do normy w ciągu kilku tygodni.
Jak nie dopuścić do kolejnej infekcji?
Większość infekcji, które opisałem wyżej, ma jedno wspólne źródło: nieaktualne oprogramowanie. Stara wersja WordPressa, zapomniana wtyczka, motyw bez aktualizacji od roku – to właśnie te luki najczęściej wykorzystują boty skanujące sieć w poszukiwaniu podatnych stron.
Administracja WordPress
Problem w tym, że pilnowanie aktualizacji na bieżąco łatwo spada na dalszy plan, zwłaszcza gdy strona “działa i tak”. W praktyce oznacza to, że aktualizacje odkłada się tygodniami, a czasem miesiącami – aż w końcu ktoś wykorzysta lukę, zanim zdążysz ją załatać.
Jeśli nie chcesz co jakiś czas wracać do tego artykułu i ręcznie sprawdzać, czy strona jest bezpieczna, możesz przekazać to zadanie nam. W ramach administracji WordPress regularnie aktualizujemy WordPressa i wtyczki, robimy kopie zapasowe i pilnujemy bezpieczeństwa strony na bieżąco – zanim ktokolwiek zdąży znaleźć w niej lukę. To rozwiązanie tańsze i mniej stresujące niż usuwanie wirusa po fakcie, a przy okazji oszczędza Ci czasu, który i tak wolisz poświęcić na coś innego niż pilnowanie aktualizacji.
Podsumowanie
Zainfekowana strona WordPress to nie koniec świata, ale wymaga szybkiej i metodycznej reakcji: zabezpiecz backup, zmień hasła, przeskanuj i wyczyść pliki oraz bazę danych, a na koniec wdróż realne zabezpieczenia, żeby infekcja nie wróciła. Jeśli czujesz się pewnie w plikach i bazie danych – możesz zrobić to sam, krok po kroku, tak jak opisano powyżej. Jeśli wolisz mieć pewność, że nic nie zostało przeoczone, w tym ukryte backdoory, oddaj to w ręce kogoś, kto robi to na co dzień. Najważniejsze, żeby po całej akcji strona nie została bez żadnej ochrony – bo wtedy problem wraca szybciej, niż się spodziewasz.
