Usuwanie wirusów WordPress – kompletny przewodnik 2026 (naprawa w 24h)

TL;DR: jeśli widzisz przekierowania na obce strony, ostrzeżenie Google albo nieznanych userów w panelu WP – jesteś zhakowany. Zrób Sucuri SiteCheck w 30 sekund, żeby potwierdzić.

Sygnały dzielą się na oczywiste (widzi je każdy odwiedzający) i ukryte (widzi tylko Googlebot albo logi serwera). Te drugie są groźniejsze, bo potrafią działać miesiącami, zanim ktoś je wychwyci. Zanim cokolwiek usuniesz, ustal najpierw typ infekcji – od tego zależy cała dalsza strategia czyszczenia.

Sygnały oczywiste – widać je gołym okiem

Klienci dzwonią, że strona przekierowuje ich na rosyjskie kasyno, sklep z viagrą albo dziwną stronę z aktualizacjami przeglądarki. Google w wynikach pokazuje napis This site may be hacked, a Chrome blokuje wejście czerwonym ekranem deceptive site ahead. Czasem strona jest po prostu podmieniona – zamiast Twojej oferty widać czarne tło z napisem Hacked by .... To tzw. defacement, wbrew pozorom najmniej groźny dla SEO, bo łatwo go cofnąć z backupu.

Równie częsty jest masowy spadek ruchu z Google – z dnia na dzień strona traci większość wejść organicznych. To efekt wpadnięcia na Safe Browsing blacklist. W Search Console pojawia się sekcja Problemy z bezpieczeństwem z listą zainfekowanych URLi.

Sygnały ukryte – tylko logi i Googlebot je widzą

Najpodstępniejszy jest cloaking SEO spam. Strona dla zwykłego użytkownika wygląda normalnie, ale gdy odwiedza ją Googlebot, dostaje wersję zaśmieconą japońskimi znakami, linkami do kasyn online albo viagry. Sprawdź to w Search Console przez Inspect URL → Test live URL → View tested page. Jeśli zobaczysz tam treści, których nie ma w Twoim CMS – masz cloaking.

Inne ukryte oznaki: nowi użytkownicy w wp-admin/users.php, których nie dodawałeś; pliki PHP w katalogu /wp-content/uploads/, gdzie nie powinno być żadnego kodu wykonywalnego; nagły spike ruchu wychodzącego z serwera (mailery rozsyłające spam); zmiany w .htaccess z regułami RewriteRule kierującymi na obce domeny.

Test 30-sekundowy – Sucuri SiteCheck plus VirusTotal

Wejdź na sitecheck.sucuri.net, wklej domenę i kliknij Scan Website. W kilkanaście sekund dostaniesz raport: blacklisty (Google, Norton, McAfee), wykryty malware, nieaktualne pluginy. Drugi szybki test, VirusTotal, sprawdza domenę przez dziesiątki silników antywirusowych. Jeśli oba zwrócą clean, prawdopodobnie nie masz infekcji – ale pamiętaj, że skanery zewnętrzne nie zajrzą do plików na serwerze, więc czysty wynik nie wyklucza backdoora.

TL;DR: backup, hasła, wywal lewych adminów, włącz tryb konserwacji. W tej kolejności. Bez backupu nie ruszaj nic innego.

Najczęstszy błąd – ktoś w panice usuwa pliki, restartuje serwer, kasuje pluginy. Dwie godziny później okazuje się, że razem z malware skasowane zostały zdjęcia produktów albo treść kilkudziesięciu wpisów. Backup jest jak fotografia miejsca zbrodni – nawet zainfekowana wersja zawiera dane, które trzeba uratować.

Krok 1 – backup zainfekowanej wersji

Skopiuj cały katalog WordPress (przez SSH tar -czf backup.tar.gz /home/user/htdocs/domain albo przez FTP) plus dump bazy MySQL (mysqldump -u user -p baza > baza.sql). Wrzuć to na zewnętrzny dysk albo Google Drive. Wtyczka WPvivid albo UpdraftPlus zrobi to samo z poziomu panelu, jeśli masz do niego dostęp. Jeśli czyszczenie zepsuje stronę bardziej niż malware, zawsze wrócisz do tego punktu.

Krok 2 – zmień wszystkie hasła

Hasła do panelu WordPress (wszystkich userów, nie tylko swojego), do FTP/SFTP, do bazy MySQL, do panelu hostingowego (cPanel, DirectAdmin, CloudPanel) i do maila powiązanego z domeną. Używaj generatora w menedżerze haseł (Bitwarden, 1Password) – minimum 16 znaków, losowe. Po zmianie hasła do bazy zaktualizuj wp-config.php (DB_PASSWORD), inaczej strona pokaże błąd połączenia z bazą.

Krok 3 – usuń nieznanych adminów

Wejdź w Użytkownicy → Wszyscy i przejrzyj listę. Każdy admin, którego nie pamiętasz, że dodawałeś – podejrzany. Sprawdź daty utworzenia kont: konto zarejestrowane wczoraj o 3 nad ranem z mailem admin@spam.tld usuń bez wahania. Zapisz też listę wszystkich userów (export CSV), bo czasem atakujący wraca i odtwarza konto. WP-CLI: wp user list --role=administrator pokaże wszystkich adminów.

Krok 4 i 5 – tryb konserwacji i Search Console

Włącz tryb konserwacji (WP Maintenance Mode) lub regułę w .htaccess blokującą wszystkich oprócz Twojego IP – nie chcesz, żeby Google zaindeksowało kolejne spamerskie URLe, a malware rozsyłało spam z Twojego serwera. Potem zaloguj się do Google Search Console i wejdź w Bezpieczeństwo i działania ręczne → Problemy z bezpieczeństwem. Zobaczysz tam, jakie URLe Google uznał za zainfekowane i jaki typ malware wykrył – to oszczędza godziny zgadywania.

TL;DR: SEO spam (cloaking), redirecty, backdoory, mailery, miner kryptowalut, defacement. Każdy typ wymaga innej metody czyszczenia.

W praktyce dominują dwie kategorie: SEO spam (cichy, działa miesiącami) i malicious redirects (głośny, klienci dzwonią po godzinie). Identyfikacja typu to nie ciekawostka – od niej zależy, czy szukasz w bazie, w plikach core, czy w .htaccess.

SEO spam – Japanese keywords, pharma, gambling

Klasyk gatunku. Najpopularniejszy w Polsce wariant to japońskie znaki w tytułach i meta description, wstrzykiwane do wp_posts albo generowane dynamicznie przez backdoor PHP. Cel: wykorzystać autorytet Twojej domeny do pozycjonowania spamerskich treści. Drugi wariant to pharma keywords (viagra, cialis, casino online) – dodawane do istniejących wpisów albo jako nowe podstrony /buy-viagra-online/. Wykrywanie: szukaj w bazie słów typu viagra, casino, cialis, tadalafil w tabelach wp_posts, wp_postmeta, wp_options. Sprawdź sitemapę – jeśli zawiera URLe, których nigdy nie tworzyłeś, masz cloaking.

Malicious redirects – pharma i fake updates

Najgłośniejszy typ. Klient otwiera Twoją stronę, a po sekundzie ląduje na fałszywej stronie aktualizacji Chrome lub w sklepie z viagrą. Mechanizm – JavaScript wstrzykiwany do wp-includes/js/jquery/jquery.min.js albo do wp_options (opcja siteurl nadpisana, redirect przez wp-blog-header.php). Wariant zaawansowany przekierowuje tylko mobile (User-Agent check) albo tylko ruch z Google (HTTP_REFERER check) – właściciel siedzący na desktopie nie widzi problemu i dlatego długo nie reaguje.

Backdoory – ukryte furtki do powrotu

Po usunięciu malware atakujący wraca przez backdoor. Najczęstsze lokalizacje: wp-config.php (linia z eval(base64_decode(...))), fałszywy plugin wp-vcd.php w /wp-includes/, plik wp-feed.php w roocie, skrypty PHP w /wp-content/uploads/. Komenda do skanu: grep -rl "eval(base64_decode" /home/user/htdocs/ pokaże każdy plik z tym wzorcem. To najważniejszy etap całej operacji: jeśli choć jeden backdoor zostanie, czyszczenie reszty jest bezcelowe, bo infekcja wróci.

Mailery, minery, defacement

Mailer to skrypt PHP wysyłający spam z Twojego serwera – konsekwencją są blacklisty SMTP i klient, który nie dostaje maili z formularza kontaktowego. Miner kryptowalut to JavaScript ładujący obcy skrypt w przeglądarce odwiedzających: CPU na 100 procent i skargi na mulący laptop. Defacement to widoczne podmienienie strony głównej – wbrew pozorom najmniej groźny dla SEO, bo Google szybko rejestruje powrót do normalnej zawartości.

TL;DR: Sucuri SiteCheck na zewnątrz, Wordfence albo MalCare wewnątrz, wp core verify-checksums dla plików core, ręczny grep dla backdoorów.

Żadne pojedyncze narzędzie nie wykryje wszystkiego. Dobra diagnostyka łączy trzy warstwy: skan z zewnątrz, skan wewnętrzny i weryfikację sum kontrolnych. Poniższa tabela porządkuje, co które narzędzie faktycznie łapie, a czego nie.

Trzy warstwy diagnostyki w praktyce

Zacznij od skanera online (Sucuri SiteCheck, VirusTotal) – pokaże blacklisty i widoczny malware, ale nie zajrzy do plików. Druga warstwa to plugin wewnętrzny: Wordfence w trybie High Sensitivity skanuje core, pluginy, theme i bazę; MalCare robi to w chmurze, nie obciążając słabego hostingu. Trzecia, najmocniejsza dla kogoś z SSH, to WP-CLI plus grep: wp core verify-checksums --allow-root wykryje każdą modyfikację plików core, a grep -rE "(eval\s*\(base64_decode|gzinflate\s*\(base64|str_rot13)" wp-content/ wyłapie wzorce backdoorów. Logi access.log dopowiedzą resztę: podejrzane POSTy do admin-ajax.php i xmlrpc.php to typowe wektory ataku.

TL;DR: pliki core nadpisz świeżymi, pluginy i theme zainstaluj od zera, bazę przeszukaj pod kątem wstrzyknięć, .htaccess odtwórz z czystego wzorca, backdoory usuń na końcu.

Ręczne czyszczenie ma jedną zasadę nadrzędną: pracujesz warstwami, od najłatwiejszych do najtrudniejszych, a backdoory zostawiasz na koniec. Odwrotna kolejność kosztuje godziny – usuniesz widoczny malware, a furtka odtworzy go w nocy.

Pliki: core, pluginy, theme

Zacznij od plików core, bo to najprostszy etap: wp core download --force --allow-root nadpisuje je świeżymi z WordPress.org. Następnie usuń cały katalog wp-content/plugins/ i zainstaluj każdy plugin od nowa ze sklepu WordPress – NIGDY z kopii zainfekowanego serwera. Tak samo z theme: pobierz czystą wersję, a katalog wp-content/uploads/ zachowaj dopiero po przeskanowaniu (tam nie ma prawa być ani jednego pliku .php). Plugin nullowany lub porzucony przez autora to najczęstsza brama wejścia – jeśli nie ma go w oficjalnym repo, potraktuj go jako podejrzany.

Baza danych – wstrzyknięcia w wp_options, wp_posts, wp_users

Malware lubi siedzieć w bazie, bo reinstall plików go nie ruszy. Otwórz phpMyAdmin albo Adminer i przeszukaj wp_posts oraz wp_postmeta pod kątem znaczników <script>, <iframe> i ciągów base64 tam, gdzie nie mają prawa być. W wp_options sprawdź przede wszystkim siteurl i home – jeśli wskazują na obcą domenę, masz redirect. Zajrzyj też do active_plugins, czy nie figuruje tam plugin, którego nie instalowałeś. W wp_users poluj na konta z rolą administratora dodane poza Twoją wiedzą. Ręczny SQL bywa precyzyjniejszy niż plugin, bo widzisz dokładnie, co usuwasz – rób tylko backup bazy przed edycją.

Plik .htaccess i furtki na koniec

Plik .htaccess to ulubione miejsce na ukryte redirecty – szukaj reguł RewriteRule kierujących ruch na obce domeny lub warunków RewriteCond opartych na User-Agent. Najbezpieczniej skasować zawartość i wkleić czysty, domyślny blok WordPressa, a potem odbudować własne reguły. Na sam koniec przeczesz pliki pod kątem backdoorów tym samym grepem co przy diagnozie i usuń każdy hit ręcznie, po weryfikacji. Backdoor potrafi udawać legalny plik (np. wp-cache.php w nietypowej lokalizacji), więc porównuj z czystą instalacją, nie zgaduj.

TL;DR: DIY to kilka–kilkanaście godzin Twojego czasu i realne ryzyko, że backdoor zostanie. Zlecenie = stała cena, szybki termin, gwarancja. Sklepy WooCommerce zawsze warto zlecić.

Ścieżka DIY ma sens, jeśli jesteś developerem albo masz budżet zerowy i czas na naukę. Ścieżka profesjonalna – jeśli każda godzina downtime to utracona sprzedaż albo ranking. Niezależnie od wyboru kluczowa decyzja brzmi: czy na pewno znalazłeś wszystkie furtki?

Jeśli budujesz biznes na WordPressie, warto od początku stawiać na solidnie wykonane strony internetowe z poprawną konfiguracją serwera – to znacząco zmniejsza powierzchnię ataku jeszcze przed jakimkolwiek hardeningiem.

Ścieżka A – DIY krok po kroku

Plus: zero kosztów finansowych, uczysz się przy okazji bezpieczeństwa WP. Minus: łatwo przeoczyć ukryty backdoor i ściągnąć infekcję z powrotem. Wymagane skille: SSH, WP-CLI, MySQL, regex grep, znajomość struktury WordPress.

Kolejność kroków pokrywa się z ręczną metodą powyżej: pełny backup, wp core download --force, reinstall pluginów i theme ze świeżego źródła, grep wzorców backdoorów, weryfikacja wp-config.php linia po linii, reset keys/salts z api.wordpress.org/secret-key/1.1/salt/ i wymuszony logout (wp user session destroy --all --allow-root). Najtrudniejszy nie jest żaden pojedynczy krok – trudna jest pewność, że nie została ani jedna furtka.

Ścieżka B – naprawa zlecona KC Mobile

Plus: gwarancja czystej strony, raport co znaleźliśmy, support po naprawie, brak ryzyka utraty danych. W pakiecie Basic za 599 zł brutto dostajesz pełny clean malware, reinstall WP core, weryfikację pluginów i theme, reset keys/salts oraz raport z wykrytych infekcji. Pakiet Standard za 999 zł dodaje Wordfence Premium na rok i konfigurację 2FA. Premium za 1999 zł obejmuje 30 dni opieki po naprawie i pełny audyt bezpieczeństwa.

W trakcie pracujemy na kopii, więc Twoja strona w razie potrzeby zostaje online (lub wstawiamy maintenance mode). Po naprawie dostajesz raport z listą znalezionych malware, usuniętych plików i wprowadzonej konfiguracji bezpieczeństwa. Sprawdź pełny zakres usługi naprawy WordPress albo zadzwoń od razu pod +48 604 939 140 – diagnoza bez zobowiązań.

TL;DR: po wyczyszczeniu strony zgłoś Request Review w Search Console – Google przeskanuje ponownie i zdejmie flagę, jeśli nie znajdzie pozostałości malware.

Usunięcie malware nie zdejmuje automatycznie czerwonego ostrzeżenia w wynikach wyszukiwania. Dopóki nie poprosisz Google o ponowną weryfikację, odwiedzający dalej widzą this site may harm your computer, a ruch leży. To etap, który właściciele najczęściej pomijają, dziwiąc się później, czemu pozycje nie wracają.

Security Issues i Request Review krok po kroku

Wejdź w Search Console do sekcji Bezpieczeństwo i działania ręczne → Problemy z bezpieczeństwem. Upewnij się, że wszystkie wymienione URLe są już czyste (sprawdź je testem Inspect URL → Test live URL). Następnie kliknij Poproś o sprawdzenie i opisz krótko, co zrobiłeś: usunąłeś malware, zreinstalowałeś core, zmieniłeś hasła, dodałeś 2FA. Im konkretniejszy opis, tym mniejsze ryzyko odrzucenia. Po wysłaniu zgłoszenia nie zmieniaj struktury strony, żeby nie zafałszować ponownego skanu.

Ile trwa zdjęcie flagi i powrót pozycji

Sam przegląd Safe Browsing trwa zwykle od kilkudziesięciu godzin do kilku dni – jeśli Google nie znajdzie śladu infekcji, flaga znika i ostrzeżenie przestaje się pokazywać. To jednak nie to samo co powrót pozycji organicznych. Odzyskanie pełnej widoczności zajmuje od kilku do kilkunastu dni, bo Googlebot musi przeindeksować strony i przeliczyć sygnały. W tym czasie nie panikuj i nie kombinuj ze strukturą – cierpliwość opłaca się tu bardziej niż pośpiech.

TL;DR: reinstall ze świeżych źródeł, reset keys, wymuszenie logout, 2FA, firewall, aktualizacje co tydzień, automatyczne backupy, hosting z auto-skanem.

Czyszczenie to pierwsza połowa pracy. Druga to upewnienie się, że atakujący nie wróci. Większość nawrotów, które widzimy, bierze się z trzech rzeczy: nieaktualnych pluginów, słabych haseł administratorów i braku 2FA. Wszystkie trzy łatwo wyeliminować.

Utwardzenie konfiguracji po naprawie

Zmień wszystkie 8 keys/salts w wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i ich warianty SALT) – to unieważnia wszystkie sesje, atakujący traci dostęp. Dodaj define('DISALLOW_FILE_EDIT', true); (blokuje edycję plików z panelu) oraz define('FORCE_SSL_ADMIN', true); (HTTPS w panelu). Włącz 2FA dla każdego administratora (Wordfence Login Security albo WP 2FA) – bez tego brute force na /wp-login.php łamie słabe hasło bardzo szybko. Cloudflare WAF (free) zatrzymuje większość ataków na poziomie sieci, zanim dotrą do PHP.

Higiena codzienna i hosting

Aktualizuj WordPress core, pluginy i theme co tydzień (najlepiej w stały dzień, np. wtorek rano). Auto-backupy do chmury – UpdraftPlus z connectorem do Google Drive lub Dropbox, retention 30 dni. Tygodniowy skan Wordfence albo MalCare. Hosting ma znaczenie: tani shared nie skanuje malware proaktywnie. My polecamy CyberFolks (skan ImunifyAV co godzinę, auto-blokada zainfekowanych plików, backupy w cenie). Inne dobre opcje: LH.pl, Zenbox. Pełny zestaw kroków opisujemy w przewodniku jak zabezpieczyć WordPress przed atakami.

TL;DR: Basic 599 zł (clean + 24h), Standard 999 zł (+ Wordfence Premium + 2FA), Premium 1999 zł (+ 30 dni opieki + audyt). Wszystkie z gwarancją.

Cennik jest jasny i nie ma ukrytych kosztów. Diagnoza wstępna jest zawsze bezpłatna – najpierw mówimy, co znaleźliśmy i ile potrwa naprawa, a dopiero potem wyceniamy.

Co dalej? Pełny opis usługi naprawy WordPress albo zadzwoń pod +48 604 939 140 – diagnoza bez zobowiązań, wycena od ręki. Możesz też wypełnić formularz kontaktowy, oddzwonimy w godzinach pracy.

Pomagamy w tym na co dzień – strony internetowe.

Nie chcesz grzebać w tym sam i ryzykować pogłębienia awarii? Naprawimy Twój WordPress – diagnoza w 30 minut, pełna naprawa od 299 zł, z miesięczną opieką w pakiecie.