Kuidas aru saada, kas WordPress on häkitud?

Häkitud WordPressi leht ei pruugi omanikule üldse häkitud välja näha. Ründaja võib näidata rämpslehti ainult Google’ile või suunata telefoniga otsingust tulnud külastaja mujale, samal ajal kui sisse logitud haldur näeb tavalist kodulehte. Kui tahad aru saada, kas sinu WordPressi leht on häkitud, siis mina olen Andrei ja alustaksin just sellest 15 minuti kontrollist.

Kuidas 15 minutiga kontrollida, kas WordPress on häkitud

Alusta väljaspool WordPressi. Ründaja võib jätta halduspaneeli täiesti normaalseks. Kui vaatad lehte ainult oma kontoga sisse logituna, jääb probleem kergesti märkamata.

Otsi Google’ist site:yourdomain.com. Asenda näidisdomeen enda omaga. Vaata, kas tulemustes on lehti, mida sina pole teinud, kummalisi pealkirju või näiteks jaapanikeelseid reklaame tablettidele ja kasiinomängudele. Ava kahtlased tulemused ettevaatlikult. Üksnes pealkiri ei tõesta veel midagi: Google võib näidata ka kustutatud lehti. Kontrolli, kas nende aadressid päriselt avanevad.
Külasta lehte nagu klient, kes tuleb otsingust. Ava telefonis privaatne brauseriaken, otsi oma leht Google’ist üles ja vajuta tulemusele. Ära kirjuta selle katse ajal aadressi ise sisse. Mõni ümbersuunamine käivitub ainult otsingust tulijale, telefonis või siis, kui inimene pole sisse logitud. Kui jõuad petulehele, salvesta selle aadress ja tee ekraanipilt.
Ava Google Search Console. Vali oma veebileht ja vaata Security & Manual Actions > Security issues, seejärel Security & Manual Actions > Manual actions. Hoiatus tähendab, et Google on probleemi märganud. Hoiatuse puudumine ei tähenda, et leht on puhas: Google ei pruugi peidetud rämpsleheni jõudnud olla.
Kontrolli Google’i Safe Browsingu olekut. Otsi Google Transparency Reporti lehelt Safe Browsingu saidi oleku kontroll ja sisesta oma domeen. Sellest on abi, kui klient on brauseris hoiatust näinud, aga see ei ole kõigi failide skannimine.
Vaata haldurikontosid. WordPressis mine Users > All Users ja filtreeri välja haldurid. Kas tunned kõiki? Enne kellegi konto eemaldamist küsi teistelt lehe haldajatelt üle. Võõras, eriti hiljuti loodud haldurikonto vajab uurimist.
Vaata pluginad üle. Kontrolli Plugins vaadet, sealhulgas Plugins > Must-Use ja Drop-ins. Pane kirja kõik, mida sa ei paigaldanud või ei oska tuvastada. Must-use pluginad jäävad kergesti kahe silma vahele. Samas ei tähenda võõras nimi automaatselt pahavara - selle võis paigaldada ka majutaja.
Kui sul on WP-CLI ligipääs, kontrolli faile. Käivita oma WordPressi paigalduskataloogis järgmised käsud. Need võrdlevad WordPressi põhifaile ja WordPress.org-ist pärit pluginaid ametlike kontrollsummadega:

wp core verify-checksums
wp plugin verify-checksums --all

Uuri iga erinevust, aga ära eelda kohe pahavara. Nende käskudega ei saa WordPress.org-i kontrollsummade järgi kontrollida tasulisi ega sinu jaoks eraldi tehtud pluginaid.

Otsi üleslaadimiste kaustast PHP-faile. Kui sul on käsureale ligipääs, käivita WordPressi kataloogis find wp-content/uploads -name "*.php". Seal peaks tavaliselt olema pildid ja dokumendid, mitte käivitatav PHP. Ära leitud faili ava ega kustuta. Kirjuta selle asukoht üles ja palu majutajal või turvaspetsialistil seda uurida.

Esimeseks ülevaatuseks võib kasutada ka tasuta WordPressi pahavara skannerit. See kontrollib tavalisemaid peidukohti, mitte iga viimast kui faili. Puhas skann ei tõesta, et kõik on korras, eriti kui hoiatust näevad ainult Google’ist tulnud külastajad.

Pahavara võib peita haldurikonto ka kasutajate vaatest. Kui kontode arv tundub vale, kontrolli andmebaasile ligipääsu olemasolul kasutajate tabelit otse. Näiteks wp db query "SELECT ID, user_login, user_registered FROM wp_users ORDER BY user_registered DESC" kuvab kontod registreerimisaja järgi. Sinu tabelite eesliide ei pruugi olla wp_, nii et kontrolli see enne üle.

Märgid, et WordPressi leht võib olla häkitud

Üksainus sümptom ei anna kindlat vastust. Otsi muutusi, mida sa ei oska seletada, eriti kui neid on korraga mitu.

Mida märkavad külastajad ja Google

Google’i tulemusel klõpsanud inimene jõuab rämps- või petulehele, aga käsitsi sisestatud aadress töötab. Proovi kindlasti ka telefoniga.
Google näitab teadet “This site may be hacked” või brauser hoiatab “Deceptive site ahead”. Võta kumbagi tõsiselt, isegi kui avaleht paistab korras.
Majutaja saadab pahavarateate või peatab lehe töö. Küsi, millised failid või milline tegevus hoiatuse põhjustasid.
Kliendid saavad sinu domeenilt rämpsposti. Salvesta üks kiri koos päistega, kui saad, et meiliteenuse pakkuja saaks selle päritolu uurida.

Mis muutub WordPressi sees

Võõrad haldurid ja pluginad on ohumärgid, ka need, mis asuvad Plugins > Must-Use all. Vähem silmatorkav on see, kui parool äkki ei tööta, sind logitakse pidevalt välja või uute kasutajate registreerimine on sisse lülitatud ja vaikimisi rolliks määratud haldur. Vaata neid seadeid ning ootamatut lehe aadressi kohast Settings > General. Kontrolli iga halduri profiililt ka rakenduste paroole, mida sa ei tunne. Enne kui nimetad muutust ründeks, küsi teistelt ligipääsuga inimestelt üle.

Mis muutub serveris

PHP-failid kaustas wp-content/uploads, kummaliste nimedega PHP-failid lehe juurkataloogis ning ootamatud muudatused failides .htaccess või wp-config.php väärivad kontrolli. Sama kehtib tundmatute ajastatud toimingute, seletamatute hiljutiste failimuudatuste ning järsu protsessori koormuse või liikluse kasvu kohta. Ka täiesti tavaline update muudab faile. Võrdle kuupäevi uuenduste logi, majutaja teadete ja arendaja tehtud töödega.

Mida peaks e-poe omanik vaatama

Kasutad WooCommerce’i? Kontrolli ostu vormistamist. Lisatud JavaScript võib varastada kaardiandmeid; muudetud makseseaded või tellimusteadete e-posti aadressid võivad suunata raha või tellimuste andmed mujale. Kui klient teatab pärast sinu poest ostmist kaardipettusest, uuri asja kohe, aga ära eelda ilma tõenditeta, et põhjus oli sinu poes. Säilita tõendid ja võta makseteenuse pakkujaga ühendust, kui makseandmed võisid ohtu sattuda.

Üks näide 2026. aastast: plugin, mis peitis halduri

Patchstack kirjeldas kampaaniat, mida oli nähtud alates 4. oktoobrist 2026. Ründajad kasutasid skripti sisestamist Ninja Formsi vormivastustesse ja WPC Product Bundlesi WooCommerce’i tellimustesse. Kui haldur avas nakatunud vastuse või tellimuse, paigaldati võltsplugin “WP Smart Thumbnails”. Rünnak lõi ühe nähtava halduri ja teise, kes oli kasutajate vaatest peidetud. Kaasas olid ka salajane sisselogimislink ja failihaldur. Osa ründest asus must-use pluginatena kaustas wp-content/mu-plugins. Just sellepärast vaatan andmebaasi ja must-use pluginaid ka siis, kui halduspaneel näib kahtlaselt korras. Haavatava plugina uuendamine sulgeb selle ründetee uutele katsetele, kuid juba lisatud tagauksi see ei eemalda.

Mida puhas kontroll ütleb ja mida mitte

Kui Google’i tulemused, telefoniga tehtud katse ja halduspaneel tunduvad normaalsed, on see hea märk. Tervisetõend see siiski pole. Otsingutulemused muutuvad viitega, ümbersuunamine võib sihtida kitsast külastajate rühma ja peidetud kontot kasutajate nimekirjas ei näe. Hoia oma märkmed alles, et hiljem oleks millega võrrelda. Kui klient saadab kahtlase lingi või ekraanipildi, uuri seda ka siis, kui kõik muu paistis puhas.

Leidsid kahtlase faili? Ära kohe kustuta

Fail nimega image-cache.php üleslaadimiste kaustas tundub veider. Uuri, mida see teeb ja kas miski loob selle pärast kustutamist uuesti. Pane kirja täielik asukoht ja muutmise aeg, küsi majutajalt selle aja ligipääsuloge ning võrdle faili teadaolevalt puhta varukoopiaga, kui see on olemas. Ära ava tundmatut PHP-faili brauseris lihtsalt selleks, et „näha, mis juhtub”. Tee enne arvatava tagaukse eemaldamist lehe hetkeseisust koopia. Muidu võid kaotada parima jälje selle kohta, kuidas ründaja sisse pääses.

Kui häire osutub ekslikuks

Mitte iga katkine või imelikult käituv leht pole häkitud. Kontrolli esmalt neid võimalusi:

Aeglased lehed: Vaata majutaja ressursigraafikuid ja liiklust. Andmete import või backup võib koormuse kasvu seletada; seletamatud päringud kummalistele aadressidele vajavad uurimist.
Pluginate konflikt: Kui jama algas pärast uuendust, pane kirja, milline plugin muutus, ja katseta testkeskkonnas. Ära lülita töötava e-poe maksepluginaid niisama prooviks välja.
Aegunud SSL-sertifikaat: Sertifikaadihoiatus ei ole pahavarahoiatus. Vaata kehtivusaegu ja palu majutajal sertifikaat uuendada.
Vana leht otsingutulemustes: Vahemälu või Google’i indeks võib näidata kustutatud lehte. Kontrolli, kas aadress avaneb praegu ja kas seal on päriselt rämpssisu.

Leidsin midagi kahtlast. Mis nüüd?

Ära hakka esimese hooga kõike kustutama. WordPress.org-i juhend häkitud lehe kohta alustab juhtunu väljaselgitamisest. Pane kirja kuupäevad, aadressid, failinimed, võõrad kontod ja hoiatused. Enne muudatuste tegemist võta varukoopia või palu majutajalt hetkeseisu koopia just sellisena, nagu leht praegu on, isegi kui seal on pahavara. Sellest võib hiljem olla abi ründetee leidmisel.

Seejärel vaheta kõik paroolid: WordPressi haldurid, majutuspaneel, FTP või SFTP ning andmebaasi ligipääs. Asenda ka salajased võtmed ja soolad failis wp-config.php - see logib kõik kasutajad välja. Kontrolli oma arvutit. Salvestatud paroolide vargus on üsna tavaline tee tagasi lehele, nii et puhas WordPressi paigaldus ei aita, kui sinu sülearvuti on nakatunud.

Räägi majutajale, mida leidsid. Puhasta faile siis, kui tead, mis on pahatahtlik. WordPressi põhifailid ja pluginad paigalda puhtast allikast uuesti, selle asemel et nakatunud faile käsitsi parandada. Leia ka sisenemiskoht, näiteks uuendamata plugin, muidu võib ründaja tagasi tulla. Kui Google on lehe märgistanud, taotle pärast puhastamist uut ülevaatust. Minu loos Google’i pahavara hoiatusest ja selle mõjust lehele selgitan, mida need hoiatused kaasa toovad.

Kogu tegevuskäigu leiad juhendist mida teha, kui WordPressi koduleht häkiti. Kui sa ei taha sellega ise maadelda, saad tellida veebilehe puhastamise ja pahavara eemaldamise.

Tänane viie minuti kontroll

Viitteist minutit pole? Otsi Google’ist site:yourdomain.com, vaata tulemuste pealkirjad üle ning ava siis Users > All Users ja kontrolli haldureid. Kui midagi ei klapi kirjuta kahtlane tulemus või konto üles. Need kaks vaadet annavad sulle konkreetse koha, kust edasi uurida.

Kuidas aru saada, kas sinu WordPressi leht on häkitud?