Взломанный WordPress не всегда выглядит взломанным. Вам сайт показывает обычную главную, а посетителя из Google перекидывает на мошенническую страницу. Или спам виден только поисковику, пока вы спокойно работаете в админке. Я Андрей, и если бы мне нужно было быстро понять, все ли в порядке с сайтом, я начал бы с этой 15-минутной проверки.
Как проверить WordPress на взлом за 15 минут
Сначала посмотрите на сайт снаружи. Если проверять его только из своей учетной записи администратора, часть проблем легко пропустить.
- Поищите в Google
site:yourdomain.com. Подставьте свой домен. Ищите страницы, которых вы не создавали, странные заголовки, японский спам про таблетки или казино. Но один заголовок - еще не диагноз. Google иногда хранит в выдаче удаленные страницы, поэтому проверьте, открывается ли подозрительный адрес сейчас. - Зайдите как покупатель из поиска. Откройте на телефоне приватное окно, найдите свой сайт в Google и нажмите на результат. Адрес вручную не вводите - в этом весь смысл проверки. Некоторые редиректы срабатывают только для людей из поиска, с телефона или без входа в WordPress. Попали на чужой сайт? Запишите адрес и сделайте скриншот.
- Откройте Google Search Console. Выберите нужный ресурс и проверьте
Security & Manual Actions > Security issues, затемSecurity & Manual Actions > Manual actions. Уведомление означает, что Google заметил проблему. Пусто? Хорошо, но выдыхать рано: зараженную страницу он мог еще не найти. - Проверьте статус сайта в Google Safe Browsing. Найдите через поиск страницу проверки статуса сайта в Google Transparency Report и введите домен. Это полезно, если покупатель пожаловался на предупреждение в браузере. Но файлы сайта такая проверка целиком не просматривает.
- Посмотрите учетные записи администраторов. В WordPress откройте
Users > All Usersи отфильтруйте админов. Все знакомы? Прежде чем удалять незнакомого юзера, спросите коллег или подрядчика. А вот свежую учетку, которую никто не признает, уже стоит копать. - Просмотрите плагины. Проверьте
Plugins, в том числеPlugins > Must-Useи Drop-ins. Запишите названия, которые не узнаете. Must-use плагины легко не заметить, но само по себе странное имя ничего не доказывает - что-то мог поставить хостинг. - Сверьте файлы, если есть доступ к WP-CLI. Запустите команды из каталога WordPress. Они сравнят ядро и плагины из WordPress.org с официальными контрольными суммами:
wp core verify-checksums
wp plugin verify-checksums --allНесовпадение проверьте, но не объявляйте его сразу вирусом. Платные и самописные плагины эти команды не смогут сверить с контрольными суммами WordPress.org.
- Поищите PHP-файлы в uploads. Если есть доступ к командной строке, выполните
find wp-content/uploads -name "*.php"из каталога WordPress. Обычно там лежат картинки и документы, а не исполняемый PHP. Найденный файл не запускайте и не удаляйте с ходу. Сохраните путь и попросите хостинг или специалиста его проверить.
Для первого прохода пригодится бесплатный сканер вирусов для WordPress. Он проверяет типичные места, где прячут малварь, но не каждый файл. Чистый результат - не гарантия, особенно когда жалобы приходят только от посетителей из Google.
Вредоносный код может спрятать администратора из списка пользователей. Если число учеток не сходится, а доступ к базе есть, проверьте таблицу напрямую. Например, wp db query "SELECT ID, user_login, user_registered FROM wp_users ORDER BY user_registered DESC" выведет учетные записи по дате регистрации. Только сначала уточните префикс таблиц: у вас он может отличаться от wp_.
Признаки взлома WordPress
По одному симптому диагноз не ставят. Важнее изменения, которым нет объяснения, особенно если их сразу несколько.
Что замечают посетители и Google
- По ссылке из Google человек попадает на спам или мошеннический сайт, а при вводе адреса вручную все работает. Проверьте и с телефона.
- Google пишет «Возможно, этот сайт взломан», либо браузер предупреждает об обмане. Не откладывайте проверку только потому, что главная страница выглядит нормально.
- Хостинг присылает уведомление о малвари или блокирует сайт. Спросите, какие файлы или действия вызвали срабатывание.
- Клиенты получают спам якобы с вашего домена. Сохраните письмо, по возможности вместе с заголовками, - почтовому провайдеру так проще найти источник.
Что меняется внутри WordPress
Незнакомые админы и плагины - повод насторожиться. Не забудьте про Plugins > Must-Use. Есть и менее заметные штуки: привычный пароль перестал подходить, вас постоянно выбрасывает из админки или включилась регистрация новых пользователей, причем роль по умолчанию - администратор. Проверьте роль и адрес сайта в Settings > General. Загляните в профили админов: нет ли неизвестных паролей приложений? И все-таки сначала спросите тех, у кого есть доступ, не меняли ли они настройки.
Что меняется на сервере
PHP-файлы в wp-content/uploads, чудные имена PHP-файлов в корне сайта, неожиданные правки .htaccess или wp-config.php - все это стоит проверить. Как и неизвестные задания cron, свежие изменения файлов без понятной причины, внезапный скачок нагрузки или трафика. Но обычный апдейт тоже меняет файлы. Сверьте даты с журналом обновлений, сообщениями хостинга и работами разработчика.
На что смотреть владельцу магазина
У вас WooCommerce? Проверьте оформление заказа. Лишний JavaScript там может перехватывать данные карт, а измененные настройки оплаты или адрес почты для уведомлений о заказах - уводить деньги и сведения о покупках. Если клиент сообщил о мошенничестве с картой после покупки, разберитесь быстро, но не делайте вывод, что виноват именно ваш сайт. Сохраните следы и свяжитесь с платежным провайдером, если данные оплаты могли попасть к посторонним.
Пример 2026 года: плагин, который спрятал админа
Patchstack сообщил о кампании, которую наблюдали с 4 октября 2026 года. Злоумышленники внедряли скрипт через отправленные формы Ninja Forms и заказы WooCommerce с WPC Product Bundles. Когда админ открывал такую заявку или заказ, устанавливался поддельный плагин «WP Smart Thumbnails». Атака создавала одного видимого администратора и второго - скрытого из Users. В придачу появлялись секретная ссылка для входа и файловый менеджер. Часть компонентов лежала среди must-use плагинов в wp-content/mu-plugins. Вот почему аккуратная админка меня не успокаивает: при подозрениях я проверяю и базу, и эту папку. Обновление уязвимого плагина перекроет такой путь для новых атак, но уже оставленные бэкдоры само не уберет.
Что означает чистая проверка - и чего она не означает
Если выдача Google, проверка с телефона и админка выглядят нормально, это хороший знак. Не справка о здоровье сайта. Поиск обновляется с задержкой, редирект может целиться в узкую группу людей, а скрытая учетка не появится в Users. Сохраните заметки - потом будет с чем сравнить. Покупатель прислал подозрительную ссылку или скриншот? Разбирайтесь, даже если остальные проверки ничего не нашли.
Нашли подозрительный файл? Не спешите удалять
Файл image-cache.php среди загрузок выглядит подозрительно. Сначала выясните, что он делает и не создает ли его снова другой код. Запишите полный путь и время изменения, запросите у хостинга логи доступа за этот период. Если есть заведомо чистый бэкап, сравните с ним. Не открывайте незнакомый PHP в браузере «посмотреть, что будет». И сделайте снимок сайта до удаления предполагаемого бэкдора - иначе можете потерять лучшую зацепку о том, как внутрь попали.
Когда тревога ложная
Сайт ведет себя странно - не значит, что его взломали. Сначала проверьте более простые объяснения:
- Страницы тормозят: посмотрите графики ресурсов у хостинга и трафик. Нагрузку мог дать импорт товаров или бэкап. А вот непонятные запросы к странным адресам уже требуют расследования.
- Конфликт плагинов: проблема началась после обновления? Запишите, что менялось, и проверьте на тестовой копии. Не отключайте плагины оплаты на работающем магазине просто ради эксперимента.
- Истек срок SSL-сертификата: предупреждение о сертификате - не предупреждение о малвари. Проверьте даты и попросите хостинг продлить сертификат.
- Появилась старая страница: удаленную страницу может показывать кеш или индекс Google. Проверьте, существует ли адрес сейчас и есть ли там спам.
Нашли что-то серьезное: что дальше
Первым делом не удаляйте все подряд. В рекомендациях WordPress.org по взломанным сайтам тоже советуют сначала восстановить картину событий. Запишите даты, адреса страниц, имена файлов, незнакомые учетки и тексты предупреждений. Сделайте бэкап или снимок на хостинге в текущем состоянии до любых правок. Да, даже если в копии будет малварь. Она может помочь понять, что произошло.
Затем смените все пароли: админов WordPress, панели хостинга, FTP или SFTP и базы данных. Замените секретные ключи и соли в wp-config.php - так вы разлогините всех пользователей. Проверьте и свой компьютер. Украденные сохраненные пароли - удобная дорога обратно на сайт; чистая установка WordPress не спасет, если заражен ноутбук.
Расскажите хостингу, что нашли. Чистите файлы, когда поняли, какие из них вредоносные. Ядро WordPress и плагины лучше переустановить из чистых копий, а не подправлять зараженные файлы. Найдите точку входа, например старый плагин, иначе атакующий вернется. Если Google пометил сайт, после очистки запросите повторную проверку. Отдельно я разобрал, как Google реагирует на вредоносный код и откуда берутся предупреждения.
Весь процесс по шагам есть в статье «Взломали WordPress: что делать и как очистить сайт». Если не хотите разбираться сами, можно заказать очистку взломанного сайта WordPress.
Пять минут на проверку сегодня
Нет даже 15 минут? Введите в Google site:yourdomain.com, пробегитесь по заголовкам, затем откройте Users > All Users и посмотрите список администраторов. Запишите все результаты и учетки, происхождение которых не можете объяснить. Два экрана - и уже понятно, с чего начинать разговор с хостингом или разработчиком.