Usuwanie wirusów WordPress – kompletny przewodnik 2026 (naprawa w 24h)

TL;DR: jeśli widzisz przekierowania na obce strony, ostrzeżenie Google albo nieznanych userów w panelu WP – jesteś zhakowany. Zrób Sucuri SiteCheck w 30 sekund, żeby potwierdzić.

Sygnały dzielą się na oczywiste (widzi je każdy odwiedzający) i ukryte (widzi tylko Googlebot albo logi serwera). Te drugie są groźniejsze, bo potrafią działać miesiącami, zanim ktoś je wychwyci. Zanim cokolwiek usuniesz, ustal najpierw typ infekcji – od tego zależy cała dalsza strategia czyszczenia.

TL;DR: backup, hasła, wywal lewych adminów, włącz tryb konserwacji. W tej kolejności. Bez backupu nie ruszaj nic innego.

Najczęstszy błąd – ktoś w panice usuwa pliki, restartuje serwer, kasuje pluginy. Dwie godziny później okazuje się, że razem z malware skasowane zostały zdjęcia produktów albo treść kilkudziesięciu wpisów. Backup jest jak fotografia miejsca zbrodni – nawet zainfekowana wersja zawiera dane, które trzeba uratować.

TL;DR: SEO spam (cloaking), redirecty, backdoory, mailery, miner kryptowalut, defacement. Każdy typ wymaga innej metody czyszczenia.

W praktyce dominują dwie kategorie: SEO spam (cichy, działa miesiącami) i malicious redirects (głośny, klienci dzwonią po godzinie). Identyfikacja typu to nie ciekawostka – od niej zależy, czy szukasz w bazie, w plikach core, czy w .htaccess.

TL;DR: Sucuri SiteCheck na zewnątrz, Wordfence albo MalCare wewnątrz, wp core verify-checksums dla plików core, ręczny grep dla backdoorów.

Żadne pojedyncze narzędzie nie wykryje wszystkiego. Dobra diagnostyka łączy trzy warstwy: skan z zewnątrz, skan wewnętrzny i weryfikację sum kontrolnych. Poniższa tabela porządkuje, co które narzędzie faktycznie łapie, a czego nie.

TL;DR: pliki core nadpisz świeżymi, pluginy i theme zainstaluj od zera, bazę przeszukaj pod kątem wstrzyknięć, .htaccess odtwórz z czystego wzorca, backdoory usuń na końcu.

Ręczne czyszczenie ma jedną zasadę nadrzędną: pracujesz warstwami, od najłatwiejszych do najtrudniejszych, a backdoory zostawiasz na koniec. Odwrotna kolejność kosztuje godziny – usuniesz widoczny malware, a furtka odtworzy go w nocy.

TL;DR: DIY to kilka–kilkanaście godzin Twojego czasu i realne ryzyko, że backdoor zostanie. Zlecenie = stała cena, szybki termin, gwarancja. Sklepy WooCommerce zawsze warto zlecić.

Ścieżka DIY ma sens, jeśli jesteś developerem albo masz budżet zerowy i czas na naukę. Ścieżka profesjonalna – jeśli każda godzina downtime to utracona sprzedaż albo ranking. Niezależnie od wyboru kluczowa decyzja brzmi: czy na pewno znalazłeś wszystkie furtki?

Jeśli budujesz biznes na WordPressie, warto od początku stawiać na solidnie wykonane strony internetowe z poprawną konfiguracją serwera – to znacząco zmniejsza powierzchnię ataku jeszcze przed jakimkolwiek hardeningiem.

TL;DR: po wyczyszczeniu strony zgłoś Request Review w Search Console – Google przeskanuje ponownie i zdejmie flagę, jeśli nie znajdzie pozostałości malware.

Usunięcie malware nie zdejmuje automatycznie czerwonego ostrzeżenia w wynikach wyszukiwania. Dopóki nie poprosisz Google o ponowną weryfikację, odwiedzający dalej widzą this site may harm your computer, a ruch leży. To etap, który właściciele najczęściej pomijają, dziwiąc się później, czemu pozycje nie wracają.

TL;DR: reinstall ze świeżych źródeł, reset keys, wymuszenie logout, 2FA, firewall, aktualizacje co tydzień, automatyczne backupy, hosting z auto-skanem.

Czyszczenie to pierwsza połowa pracy. Druga to upewnienie się, że atakujący nie wróci. Większość nawrotów, które widzimy, bierze się z trzech rzeczy: nieaktualnych pluginów, słabych haseł administratorów i braku 2FA. Wszystkie trzy łatwo wyeliminować.

TL;DR: Basic 599 zł (clean + 24h), Standard 999 zł (+ Wordfence Premium + 2FA), Premium 1999 zł (+ 30 dni opieki + audyt). Wszystkie z gwarancją.

Cennik jest jasny i nie ma ukrytych kosztów. Diagnoza wstępna jest zawsze bezpłatna – najpierw mówimy, co znaleźliśmy i ile potrwa naprawa, a dopiero potem wyceniamy.

Co dalej? Pełny opis usługi naprawy WordPress albo zadzwoń pod +48 604 939 140 – diagnoza bez zobowiązań, wycena od ręki. Możesz też wypełnić formularz kontaktowy, oddzwonimy w godzinach pracy.

Pomagamy w tym na co dzień – strony internetowe.

Nie chcesz grzebać w tym sam i ryzykować pogłębienia awarii? Naprawimy Twój WordPress – diagnoza w 30 minut, pełna naprawa od 299 zł, z miesięczną opieką w pakiecie.