WordPress häkiti - kuidas häkitud koduleht korda teha?

Esimene tund: ära hakka kohe kustutama

Avad WordPressi halduspaneeli ja midagi on valesti. Külastajad satuvad võõrale lehele või majutaja saadab hoiatuse kahtlaste failide kohta. Esimene tund loeb, aga kiire tegutsemine ei tähenda, et kõik veidra välimusega failid tuleb ära kustutada. Kui WordPress häkiti, pead esmalt kahju peatama, tõendid alles hoidma ja siis leidma kõik kohad, mille kaudu ründaja tagasi pääseb.

Kui sa pole kindel, kas tegu on ründega, vaata kõigepealt märke, et WordPress võib olla häkitud. Kui kahtlus on juba tugev, alusta siit. Järjekord aitab vältida olukorda, kus eemaldad nähtava jama, kuid jätad tegeliku sissepääsu lahti.

1. Peata kahju levimine

Ära jäta ohustatud e-poe kassat tellimusi vastu võtma, kuni asja uurid. Teade „tegeleme probleemiga” ei takista pahatahtlikul skriptil makseandmeid lugeda või ostjaid mujale suunata. Näiteks kui kodukaupade poe ostukorv viib äkki tundmatule makselehele, tuleb müük kohe peatada.

• Kui leht suunab külastajaid edasi või kassa võib olla mõjutatud, palu majutajal leht ajutiselt sulgeda või panna ette serveri tasemel hooldusleht.
• WooCommerce’i poes peata vajadusel maksed. Kui kahtlustad makseandmete lekkimist, võta ühendust ka makseteenuse pakkujaga.
• Ütle majutajale, et leht võib olla häkitud. Palu säilitada ligipääsu- ja vealogid enne nende automaatset kustutamist.

Tavaline WordPressi hooldusrežiimi plugin ei pruugi aidata, sest pahavara võib selle kõrval edasi töötada. Tõsisema juhtumi korral kasuta majutaja võimalusi. Samas jäta endale usaldusväärne ligipääs majutuskontole, et saaksid uurimist jätkata.

2. Tee häkitud seisust varukoopia

Enne paroolide muutmist, plugin’ate uuendamist või failide eemaldamist kopeeri kogu veebileht sellisena, nagu see praegu on: failid ja andmebaas. Jah, see tähendab ka nakkuse kopeerimist. Just sellest koopiast võib hiljem välja tulla, millal tagauks tekkis, mida tellimuses muudeti või millise konto ründaja lisas.

Kasuta majutaja backup-lahendust või ekspordi andmebaas ja failid eraldi. Hoia koopiat väljaspool mõjutatud serverit ning märgista see selgelt nakatunuks. Ära taasta seda kogemata toimivale lehele. Küsi majutajalt ka kahtlase ajavahemiku logid. Kui sa ise turvaliselt eksportida ei saa, palu neil see enne puhastamist ära teha.

3. Võta ligipääs tagasi

Arvesta, et ründaja võib teada serveris hoitud paroole ja võtmeid. Muuda neid seadmest, mida usaldad. Uusi paroole pole mõtet tiimi ühises meiliahelas edasi saata.

1. Lähtesta kõigi WordPressi administraatorite paroolid ja vaata üle, kellel on administraatori õigusi üldse vaja.
2. Muuda majutuskonto või cPaneli parool ning kõik SFTP ja SSH ligipääsud. Eemalda kontod, mida sa ei tunne.
3. Vaheta majutuses andmebaasi kasutaja parool ja uuenda kohe vastav väärtus failis wp-config.php, et leht saaks taas andmebaasiga ühenduse.
4. Asenda WordPressi turvasoolad failis wp-config.php, vaheta ühendatud teenuste API võtmed ja tühista WordPressi rakenduste paroolid, mida enam ei kasutata.

Uued turvasoolad muudavad senised WordPressi sisselogimisküpsised kehtetuks ja logivad kasutajad välja. Kui turva- või majutuskeskkond seda võimaldab, lõpeta ka aktiivsed seansid. Aga kui ründajal on tagauks alles, saab ta pärast paroolivahetust uue administraatori luua. Paroolide muutmine annab sulle tegutsemisruumi, mitte puhast lehte.

4. Otsi üles kõik tagauksed

Alusta failide ja andmebaasi ülevaatusest. Tee seda koopial või kontrollitud majutuskeskkonnas, eriti kui päris leht võtab tellimusi vastu. WordPressi kasutajate vaade on abiks, aga seda ei saa pimesi uskuda: pahatahtlik kood võib konto sealt peita. Kontrolli otse andmebaasi tabeleid wp_users ja wp_usermeta. Sinu tabelite prefiks ei pruugi olla wp_. Otsi administraatori õigusi, voõraid meiliaadresse ja juhtumi ajal loodud kontosid.

Pane leidude juurde kirja faili asukoht, muutmise aeg ja põhjus, miks see kahtlane tundub. Kui majutaja hoiatus saabus teisipäeval, ei tähenda see veel, et rünne algas teisipäeval. Võrdle kuupäevi logide ja vanemate varukoopiatega. Nii saad aru, kas kummaline fail ilmus enne hoiatust või on tegu hilisema muudatusega.

• Vaata läbi wp-content/mu-plugins/, tavalised plugin’ad ja teemad. Kas seal on midagi, mida sa ei paigaldanud? Must-use plugin’ad ei ilmu tavapärasesse plugin’ate nimekirja.
• Otsi PHP-faile kaustast wp-content/uploads/. Üles laaditud pildid ja dokumendid ei vaja käivitatavat PHP-koodi.
• Kontrolli hiljuti muudetud PHP-faile käsuga find wp-content -type f -name '*.php' -mtime -7. Kohanda päevade arvu oma ajajoone järgi; vanemat tagaust see otsing ei näita.
• Võrdle faile wp-config.php ja .htaccess teadaolevalt puhaste koopiatega. Vaata üle WP-Croni sündmused ja majutuskonto serveri cron-tööd.
• Otsi tabelist wp_options ja postituste sisust lisatud skripte, ümbersuunamisi ning kummalisi administraatoriga seotud seadeid. Teise prefiksi korral kontrolli vastavaid tabeleid.

WP-CLI abil käivita wp core verify-checksums ja wp plugin verify-checksums --all. Need aitavad leida muudetud WordPressi põhifaile ja wordpress.org-is saadaolevaid plugin’aid. Puhtust need siiski ei tõesta: eritellimusel tehtud ja tasulisi pluginaid tuleb eraldi kontrollida. Kui kontroll näitab erinevust, ära ava tundmatut PHP-faili oma veebilehe kaudu. Uuri seda koopial ja võrdle usaldusväärse originaaliga.

Miks nii põhjalikult? Patchstack kirjeldas 2026. aasta oktoobris rünnakukampaaniat, kus Ninja Forms’i vormivastustesse ja WPC Product Bundles’i WooCommerce’i tellimustesse lisatud skriptid käivitusid siis, kui administraator need avas. Rünne paigaldas võltsitud „WP Smart Thumbnails” plugina, nähtava administraatori, peidetud administraatori, salajase sisselogimislingi ja failihalduri. Osa komponente asus kaustas wp-content/mu-plugins/. Mõjutatud plugina uuendamine võis uued ründed peatada, kuid olemasolevaid tagauksi see ei eemaldanud.

5. Puhasta leht või ehita see usaldusväärsetest failidest uuesti

Kahtlasest PHP-failist ühe rea kustutamine tundub kiire lahendus. Mina asendaksin pigem terve faili, sest sa ei tea, mida sinna veel peideti. Asenda WordPressi põhifailid värskete koopiatega ja paigalda wordpress.org-i plugin’ad uuesti puhtast allikast. Tasulised plugin’ad ja teemad võta nende päris müüjalt.

Faili wp-config.php ja kausta wp-content/ sisu jäta alles alles pärast kontrollimist; üleslaaditud sisu ja seadistust ei tohi pimesi üle kirjutada. Eemalda tuvastatud pahatahtlikud kasutajad, faillid, ajastatud tööd ja andmebaasi lisatud võõras kood.

Kui sul on varukoopia ajast enne sissemurdmist, võib selle taastamine olla kiirem. Aga hiljem tehtud varu koopia võib sisaldada sama tagaust. Kui sa ei tea, millal rünne algas, ei ole üksnes taastamine parandamine.

6. Sulge tee, mida ründaja kasutas

Uuri välja, kuidas sisse pääseti. Kas mõni plugin oli uuendamata, administraatori parool varastati või jäi vana SFTP konto aktiivseks? Kui jätad selle küsimuse vastuseta, võib ründaja sama teed tagasi tulla.

Pärast tõendite kopeerimist uuenda WordPressi, pluginaid ja teemasid. Eemalda hüljatud laiendused, kasutamata teemad ning tundmatust allikast pärit piraattarkvara. Vaata administraatori õigused uuesti üle ja lülita võimaluse korral sisse kaheastmeline autentimine. E-poes testi pärast muudatusi ostukorvi, kassat, maksete kinnitusi ja tellimuskirju. Töötav avaleht ei tähenda midagi, kui tellimus läbi ei lähe.

Kui vahetu veebilehe puhastus on tehtud, pane paika uuenduste ja varukoopiate rutiin. Kui selleks oma aega ei jätku, saad WordPressi käsitsi tehtava hoolduse kellelegi üle anda.

7. Kontrolli, mida teised näevad, ja jälgi uut nakatumist

Ava Google Search Console’i Security Issues raport. Kui Google on lehe ohtlikuks märkinud, järgi sealset juhist ja taotle pärast probleemi eemaldamist uut kontrolli. Kontrolli, kas domeen on mõnes suuremas brauseri või turvateenuse blokeerimisnimekirjas. Korda neid kontrolle järgmiste nädalate jooksul. Hoiatuse kadumine ühest kohast ei tähenda, et kõik teised teenused on lehe juba uuesti üle vaadanud.

Kontrolli lehte ka tavalise külastajana, mitte ainult sisselogitud administraatorina. Ava mõni tooteleht teises brauseris ja vaata, kuhu ostukorvi või kontaktivormi nupud viivad. Mõni ümbersuunamine ilmub välja ainult kindlal lehel või sisselogimata kasutajale. Kui midagi on ikka valesti, salvesta ekraanipilt ja kellaaeg - sellest on majutajale või puhastajale rohkem abi kui teatest „leht teeb jälle midagi imelikku”.

Jälgi uusi kasutajaid, muudetud faile, väljuvaid ümbersuunamisi, tundmatuid cron-töid ja majutaja värskeid hoiatusi. Hoia sel ajal varukoopiad alles. Kui sama kummaline fail uuesti ilmub ära kustuta seda lihtsalt teist korda: miski loob selle tagasi. Loe ka, miks leht pärast puhastust uuesti nakatub.

Millal kutsuda appi spetsialist?

Otsi abi, kui leiad peidetud administraatori, nakkus tuleb tagasi või paistab, et e-poe kliendiandmed võisid lekkida. Sama kehtib siis, kui sa ei suuda leida puhast varukoopiat või sul puudub turvaline ligipääs andmebaasile ja majutuse logidele. Nähtava pahavara eemaldamine on üks asi. Peidetud failihalduri leidmine on juba teine töö. Sellisel juhul on mõistlikum tellida veebilehe puhastamine inimeselt, kes teeb seda iga nädal.

ELis tegutsev ettevõte peab võimalikku isikuandmete rikkumist kiiresti hindama. Isikuandmete kaitse üldmääruse ehk GDPRi artikli 33 järgi võib tekkida kohustus teavitada andmekaitse järelevalveasutust 72 tunni jooksul pärast rikkumisest teada saamist. Pane kirja, mida tead, ja küsi vajadusel õigus- või andmekaitsenõu. Ära oota täiuslikku tehnilist vastust, enne kui teavitamiskohustust hindad. Kui soovid uurimise ja parandamise meie kätte anda, vaata häkitud WordPressi puhastamise teenust.

Tee see esimesena

Kui leht on veel avalik ja kahtlustad, et kassat või ümbersuunamisi on muudetud, kirjuta kohe majutajale. Palu panna ette serveri tasemel hooldusleht ja logid säilitada. Seejärel tee failidest ning andmebaasist koopia. Ära kustuta ära jälge, mis võib näidata, kuidas ründaja sisse pääses.