Hacknutý WordPress: čo robiť v prvých hodinách a prečo sa to vracia

Napadnutý web sa väčšinou neohlási sám. Majiteľ sa to dozvie od zákazníka, ktorému sa po kliknutí na odkaz z Googlu otvorilo online kasíno, alebo od hostingu, ktorý poslal upozornenie na vysoké zaťaženie servera a odosielanie spamu. Dovtedy web vyzeral normálne, lebo útočník má záujem, aby si nikto nič nevšimol. Nižšie je postup na prvé hodiny po zistení a dôvod, prečo sa vyčistený WordPress tak často nakazí znova.

Ako vyzerá hacknutý WordPress

Najčastejší prejav je presmerovanie. Ľudia, ktorí ho riešia, píšu do Googlu wordpress hack redirect, lebo domovská stránka alebo len návštevy z vyhľadávača končia na cudzej doméne. Druhý prejav sú cudzie stránky vo výsledkoch vyhľadávania: pod vašou doménou sa objavia stovky adries s japonskými znakmi alebo s liekmi na predpis, ktoré ste nikdy nevytvorili. Tretí prejav vidíte až v administrácii: používateľ s právami administrátora, ktorého nikto nezakladal, plugin, ktorý nikto neinštaloval, a súbory zmenené v čase, keď na webe nikto nepracoval. Niekedy je prvým signálom prehliadač, ktorý pred vstupom na web ukáže červené varovanie, alebo správa v Google Search Console v sekcii Bezpečnostné problémy.

Kadiaľ sa útočník dostane dnu

Samotné jadro WordPressu je udržiavané a záplatované pravidelne. Väčšina problémov prichádza cez to, čo je okolo neho. Podľa správy Patchstack State of WordPress Security in 2025 bolo 96 percent zraniteľností nahlásených v ekosystéme WordPressu za rok 2024 v pluginoch. Zraniteľnosť v rozšírenom plugine zasiahne naraz všetky weby, ktoré ho používajú, a útočníci ju neskúšajú ručne, ich roboty ju skúšajú na každej doméne, ktorú nájdu. K tomu sa pridávajú pluginy a témy, ktoré autor prestal udržiavať, heslá používané aj inde, stará verzia PHP na hostingu a šablóny stiahnuté z neoficiálnych zdrojov, ktoré majú zadné vrátka zabudované už pri inštalácii.

Čo urobiť v prvých hodinách

• Nezačínajte mazaním. Zapíšte si, čo presne vidíte a odkedy: presmerovanie, cudzie stránky, neznámy používateľ. Budete to potrebovať pri obnove aj pri komunikácii s hostingom.
• Zavolajte hostingu. Poskytovateľ vidí do logov servera, vie povedať, odkiaľ útok prišiel, a má zálohy z dní pred napadnutím. Opýtajte sa, ako ďaleko dozadu siahajú, väčšina hostingov ich drží len niekoľko týždňov.
• Zmeňte všetky heslá naraz. Administrátori WordPressu, FTP a SFTP, prístup do hostingového panelu, heslo k databáze a bezpečnostné kľúče v konfiguračnom súbore. Zmena jedného hesla nestačí, útočník si medzitým spravil ďalšie cesty dnu.
• Prejdite zoznam používateľov. Každý účet s právami administrátora, ktorý nepoznáte, zmažte. Tým, ktorí administrátorské práva nepotrebujú, ich uberte.
• Obnovte web z čistej zálohy z dátumu pred prvým prejavom, nie z včerajška. Ručné čistenie infikovaných súborov je práca pre špecialistu; pri zálohe viete, čo v nej je.
• Hneď po obnove aktualizujte jadro, každý plugin, tému aj verziu PHP. Nepoužívané pluginy a témy zmažte, nielen deaktivujte. Diera, ktorou útočník prišiel, je v zálohe stále.
• Pozrite Search Console. Ak Google web označil, po vyčistení požiadajte o kontrolu, inak varovanie zostane.

Prečo sa vyčistený web nakazí znova

Útočník pri prvej návšteve nechá v súboroch zadné vrátka: malý skript s nenápadným názvom v priečinku uploads alebo v téme, cez ktorý sa vráti aj po tom, čo mu zmeníte heslo. Obnovená záloha bola sama už infikovaná, lebo prvý prejav prišiel týždne po prvom vstupe. Plugin, ktorým prišiel dnu, sedí po obnove na svojom mieste v rovnakej verzii. Nové heslo je to isté, ktoré sa používa v e-maile. Iný web na tom istom hostingovom účte nikto nečistil a útočník sa cez neho vráti k tomuto. Ak sa web nakazil druhýkrát, nehľadajte lepší bezpečnostný plugin. Hľadajte dieru, ktorá prežila čistenie.

Čo mení uzavreté jadro bez cudzích pluginov

Weby, ktoré staviame na WebCreatore Next Gen, nemajú pluginy tretích strán. Formuláre, novinky, galérie, viacjazyčnosť aj SEO sú súčasťou jadra a aktualizujú sa spolu s ním. Každý formulár nesie overovací token a skryté pole proti robotom, konfiguračné súbory ležia mimo verejného priečinka a do administrácie sa dá prihlásiť odtlačkom prsta alebo tvárou namiesto hesla, podrobne na stránke prístupy a bezpečnosť. Ubúda tým presne to, cez čo útoky na WordPress najčastejšie prichádzajú: kód od desiatok cudzích autorov, ktorý nikto nevidí v celku. Netvrdíme, že taký web sa nedá napadnúť. Je to jeden kód, ktorý máme pod kontrolou my, a hosting, zálohy aj aktualizácie strážime my, nie majiteľ webu. Prečo to tak staviame, vysvetľujeme v článku Vlastný CMS pre firemný web namiesto WordPressu.

Ak si WordPress chcete nechať, lebo naň máte tím alebo napojenia, dá sa udržať bezpečný: málo pluginov, všetky udržiavané, pravidelné aktualizácie a zálohy mimo servera. Ako aktualizovať tak, aby vám to web nezhodilo, píšeme v článku Aktualizácia WordPress pluginov: keď update zhodí web.

Ak riešite napadnutý web práve teraz a neviete, kde začať, napíšte nám. Pozrieme sa naň, povieme, čo vidíme, a či dáva zmysel ho čistiť, alebo postaviť nanovo. Weby, ktoré takto vznikli, sú v referenciách.