Masz wirusa na stronie WordPress? Kolejność działań jest następująca: odetnij atakującym dostęp, wykonaj kopię zainfekowanej wersji, wyczyść pliki i bazę danych, a na końcu usuń przyczynę włamania i zabezpiecz stronę przed kolejnym atakiem. Poniżej przechodzimy przez cały proces krok po kroku - dokładnie tak, jak robimy to przy usuwaniu infekcji ze stron naszych klientów.
Aktualizacja: lipiec 2026
Skąd wiesz, że strona ma wirusa? Objawy infekcji WordPress
Pierwszym krokiem jest ustalenie, czy strona rzeczywiście została zainfekowana.
Oto oznaki, które najczęściej świadczą o ataku:
- Występują nieznane przekierowania na inne strony
- Przeglądarka lub Google wyświetlają ostrzeżenia o złośliwym oprogramowaniu
- W panelu administracyjnym WordPressa pojawiły się podejrzane pliki, wtyczki lub konta użytkowników
- Podejrzane treści w wynikach wyszukiwania, np. chińskie lub japońskie znaki albo opisy produktów farmaceutycznych pod Twoim adresem
- Alerty Google Search Console o indeksowaniu nowych, nieznanych podstron lub o wykrytym złośliwym oprogramowaniu
- Wiadomości od dostawcy hostingu ostrzegające o wysyłce spamu z Twojej strony
- Nagły spadek ruchu widoczny w Google Search Console lub GA4
Wielokrotnie spotkałem się z sytuacjami, w których właściciel strony nie mógł potwierdzić infekcji, ale jego klienci stale zgłaszali dziwne zachowania: wyskakujące okienka, komunikaty o wygranych, przekierowania po wejściu prosto z wyszukiwarki. Problem był szczególnie dotkliwy dla ośrodków zdrowia i firm eventowych, gdzie pacjenci lub uczestnicy wydarzeń nie mogli dotrzeć do potrzebnych informacji.
Jeżeli potrzebujesz pomocy z weryfikacją i usunięciem wirusa ze swojej strony, napisz do nas - sprawdzimy to szybko i konkretnie.
Strona przekierowuje na inne adresy? To najczęstsza infekcja WordPress
Złośliwe przekierowania to typ infekcji, z którym zgłasza się do nas najwięcej osób. Mechanizm wygląda tak: użytkownik wchodzi na stronę z wyników Google i zamiast Twojej treści ląduje na stronie z fałszywymi konkursami, reklamami farmaceutyków lub podejrzanym sklepem.
Najbardziej podstępne jest to, że właściciel często niczego nie widzi. Ten typ malware zwykle aktywuje się tylko dla ruchu z wyszukiwarki, tylko na urządzeniach mobilnych albo tylko dla niezalogowanych użytkowników. Wchodzisz na swoją stronę bezpośrednio, wszystko działa - a klienci w tym czasie trafiają na oszustów.
Gdzie szukać przyczyny przekierowań:
- Plik .htaccess - doklejone reguły przekierowań, często na samej górze lub dole pliku
- Pliki rdzeniowe i wp-config.php - wstrzyknięty, zaciemniony kod (długie ciągi base64, eval)
- Baza danych - podmienione adresy w opcjach siteurl i home oraz złośliwe skrypty doklejone do treści wpisów
- Fałszywe wtyczki - katalogi w wp-content/plugins o nazwach udających systemowe
Szybki test: otwórz stronę w trybie incognito, wchodząc przez wynik w Google (nie z paska adresu), najlepiej z telefonu. Jeżeli przekierowanie występuje, przechodź do kolejnych kroków.
Zanim zaczniesz: kopia zapasowa zainfekowanej strony
Zanim podejmiesz kroki naprawcze, stwórz kopię zapasową strony. Ta kopia nigdy nie powinna służyć do odtworzenia danych, bo zawiera zainfekowane pliki. Wykonujesz ją na wypadek, gdyby przy pracach naprawczych coś poszło nie tak lub potrzebne dane zostały usunięte.
Realizując działania naprawcze dla naszych klientów zawsze tworzymy taką kopię - minimalizuje ryzyko utraty danych i pozwala nam później porównać wersje przy analizie infekcji.
Ukryj stronę i odetnij atakującym dostęp
Podczas usuwania wirusów i malware warto tymczasowo ukryć stronę przed odwiedzającymi. Unikniesz sytuacji, w której użytkownicy trafiają na zainfekowaną lub uszkodzoną stronę, a Google obniża jej pozycje w wynikach wyszukiwania.
Równie ważnym celem jest zablokowanie trwającego ataku. Ukryte w plikach fragmenty kodu mogą umożliwiać atakującym (lub botom) operacje na bazie danych i zapisywanie kolejnych zainfekowanych plików - dopóki tego nie zablokujesz, sprzątanie przypomina wylewanie wody z dziurawej łodzi.
Zalecamy i sami stosujemy odcięcie dostępu do plików strony przez zmianę ich lokalizacji w strukturze folderów na serwerze lub blokadę w .htaccess. Jedną z prostszych opcji jest gotowa wtyczka typu "maintenance".
Usuwanie wirusów i malware z plików WordPress
Teraz czas na usunięcie złośliwego kodu. Możesz zrobić to ręcznie lub jednym z automatycznych narzędzi do skanowania i usuwania malware. Niestety automat nie zawsze będzie skuteczny, a pozostawione zaatakowane pliki mogą powodować dalsze luki w bezpieczeństwie i powrót problemu.
W Belgrav zawsze decydujemy się na ręczne oczyszczenie (z pomocą skanerów i AI), skupiając się na trzech obszarach:
- Pliki rdzeniowe WordPressa - wgrywamy świeże pliki z oficjalnego repozytorium, zgodne z wersją Twojej strony
- Pliki motywów i wtyczek - ogólnodostępne wtyczki wgrywamy ponownie, a wtyczki indywidualne skanujemy dodatkowymi narzędziami i przeglądamy ich kod w poszukiwaniu podejrzanych fragmentów
- Baza danych - sprawdzamy nietypowe elementy: podejrzane komentarze, konta użytkowników i wpisy
To tylko fragment układanki, bo zainfekowany kod można znaleźć zarówno w folderze uploads, jak i w innych miejscach na serwerze. Atakujący bardzo często stosują nazwy typu backup, security, config, żeby zmylić mniej doświadczone osoby przed usunięciem "ważnego" pliku. My nie dajemy się oszukać :)
Czyszczenie bazy danych i usuwanie spamu
Baza danych zasługuje na osobny etap, bo infekcja zostawia w niej ślady, których nie widać w plikach:
- Konta administratorów, których nikt nie zakładał - do natychmiastowego usunięcia
- Spamowe wpisy i podstrony - infekcje typu spam SEO potrafią dodać do indeksu Google tysiące podstron z treściami farmaceutycznymi lub hazardowymi pod Twoją domeną
- Złośliwe skrypty doklejone do treści - fragmenty JavaScript w istniejących wpisach i widgetach
- Podmienione adresy w opcjach siteurl i home
Po wyczyszczeniu bazy sprawdź w Google Search Console, czy spamowe podstrony nie wiszą dalej w indeksie - jeżeli tak, zgłoś je do usunięcia. Bez tego jeszcze tygodniami mogą wyświetlać się w wynikach wyszukiwania pod Twoją marką.
Wirus w sklepie WooCommerce - na co uważać
Jeżeli zainfekowana strona to sklep, stawka rośnie. W grę wchodzą dane klientów, historia zamówień i proces płatności. Część infekcji celuje właśnie w e-commerce - złośliwy kod podpięty pod stronę zamówienia potrafi przechwytywać dane wpisywane przez kupujących.
Przy sklepie kolejność działań się zmienia: najpierw zablokuj możliwość składania zamówień (tryb serwisowy), dopiero potem sprzątaj. Po wyczyszczeniu zweryfikuj pliki odpowiedzialne za koszyk i płatności oraz sprawdź, czy incydent nie oznacza obowiązków informacyjnych wobec klientów - przy podejrzeniu wycieku danych osobowych warto skonsultować temat zgłoszenia do UODO.
Po usunięciu infekcji: aktualizacje, hasła i uprawnienia
Bardzo często strony zostają zainfekowane z powodu przestarzałego oprogramowania, dlatego w ramach akcji naprawczej trzeba zająć się również przyczyną ataku.
Zaktualizuj WordPressa, wszystkie wtyczki i motywy do najnowszych wersji. Jeśli korzystasz z motywu lub wtyczki porzuconych przez twórców (brak aktualizacji), poszukaj alternatywy. Ten punkt wymaga powtarzania, żeby przynosił efekty - w ramach supportu WordPress nasi klienci nie muszą o tym pamiętać, bo co miesiąc ich strona otrzymuje aktualizacje do najnowszych wersji.
Zresetuj wszystkie hasła: do kont WordPress, bazy danych, FTP i panelu hostingowego. Atakujący miał dostęp do plików strony, więc zna również dane dostępowe do bazy. To punkt bardzo często pomijany nawet przez firmy zajmujące się tym zawodowo. Wielokrotnie spotkaliśmy się z sytuacją, w której nowi użytkownicy byli dodawani bezpośrednio przez bazę danych już po usunięciu infekcji i zabezpieczeniu strony - właśnie dlatego, że hasła do bazy nie zostały zmienione.
Sprawdź uprawnienia plików na serwerze:
- Pliki: 644
- Foldery: 755
- Plik wp-config.php: 440 lub 400
Zbyt szerokie uprawnienia umożliwiają atakującym ponowną modyfikację plików - nawet po perfekcyjnym sprzątaniu.
Jak zabezpieczyć WordPress przed kolejnym atakiem
Usunięcie wirusa bez zabezpieczenia strony to zaproszenie do powtórki. Minimum, które warto wdrożyć od razu:
- Zapora ogniowa - wtyczki takie jak Wordfence chronią przed złośliwym ruchem i typowymi atakami
- Minimum wtyczek - każda dodatkowa wtyczka to potencjalna luka; usuń wszystko, czego nie używasz
- Dwuetapowe logowanie dla kont administratorów
- Kopie zapasowe poza serwerem strony - kopia trzymana w plikach strony znika razem z nią
Tempo gry zmieniło się w ostatnich latach: narzędzia oparte o AI skanują sieć i wykorzystują świeżo opublikowane luki w ciągu godzin, nie tygodni. Pisaliśmy o tym szerzej w artykule "AI znajduje luki w sekundy". Pełną listę zasad znajdziesz w artykule "Jak zabezpieczyć swoją stronę na WordPress?".
Monitoring i alerty - dowiedz się o ataku pierwszy
Po usunięciu zagrożeń kluczowe jest regularne monitorowanie strony. Wtyczki takie jak Wordfence czy Sucuri oferują stałe skanowanie i powiadomienia, Google Search Console alarmuje o problemach z indeksowaniem i bezpieczeństwem, a monitoring uptime wychwytuje niedostępność strony.
Problem w tym, że te narzędzia generują sporo komunikatów i trudno oddzielić pilne od nieistotnych. W ramach supportu WordPress monitorujemy alerty bezpieczeństwa, Google Search Console i dostępność stron naszych klientów - i to my zgłaszamy się do Ciebie, kiedy naprawdę dzieje się coś wymagającego reakcji.
Kiedy zlecić usuwanie wirusów specjalistom?
Samodzielne czyszczenie ma sens, jeśli swobodnie poruszasz się po plikach na serwerze i bazie danych. Zlecenie tego na zewnątrz warto rozważyć, gdy:
- infekcja wraca mimo czyszczenia (klasyczny objaw pozostawionego backdoora),
- Google oznaczył stronę jako niebezpieczną lub wyleciała z wyników wyszukiwania,
- strona to sklep lub źródło leadów i każdy dzień przestoju kosztuje,
- nie masz pewności, czy po sprzątaniu strona jest naprawdę czysta.
Usuwamy infekcje ze stron WordPress - czyścimy pliki i bazę danych, zabezpieczamy stronę po ataku i weryfikujemy jej stan w Google Search Console. Koszt zaczyna się od 1600 zł netto i zależy od skali infekcji. Działamy zdalnie, w całej Polsce. Napisz do nas lub zarezerwuj bezpłatną konsultację.
Najczęstsze pytania o usuwanie wirusów z WordPress
Ile kosztuje usunięcie wirusa ze strony WordPress?
U nas usunięcie infekcji kosztuje od 1600 zł netto - cena zależy od skali problemu i rozmiaru strony. W zakres wchodzi czyszczenie plików i bazy danych, zabezpieczenie strony po ataku oraz weryfikacja stanu w Google Search Console.
Jak długo trwa odwirusowanie strony?
Etap zablokowania wyświetlania strony i dostępu do jej zawartości przez atakujących staramy się wykonać najszybciej jak jest to możliwe, bardzo często w ciągu 24h. Pełne usuwanie szkód oraz przegląd strony może potrwać od 2 do nawet 10 dni roboczych.
Czy wtyczka antywirusowa wystarczy do usunięcia wirusa?
Zwykle nie. Skanery dobrze wykrywają znane sygnatury, ale często pomijają backdoory ukryte w indywidualnych motywach, folderze uploads czy bazie danych. Wtyczka jest dobrym uzupełnieniem ręcznego czyszczenia i późniejszego monitoringu, ale sama nie gwarantuje czystej strony.
Dlaczego moja strona WordPress przekierowuje na inne strony?
To objaw infekcji typu redirect malware. Złośliwy kod siedzi najczęściej w pliku .htaccess, plikach rdzeniowych lub bazie danych i przekierowuje ruch z wyszukiwarki na strony oszustów. Często aktywuje się tylko dla ruchu z Google lub na urządzeniach mobilnych, dlatego właściciel może go w ogóle nie widzieć.
Czy Google usunie moją stronę z wyników po infekcji?
Google może oznaczyć stronę ostrzeżeniem "Ta witryna może być niebezpieczna" lub obniżyć jej pozycje. Po wyczyszczeniu infekcji zgłoś stronę do ponownej oceny w Google Search Console (sekcja Bezpieczeństwo) - po pozytywnej weryfikacji ostrzeżenia znikają, a pozycje zwykle wracają.
Czy wirus może wrócić po usunięciu?
Tak, jeżeli w plikach lub bazie został backdoor albo nie zmieniono haseł i nie usunięto przyczyny włamania. Dlatego samo czyszczenie to połowa pracy - drugą połową jest aktualizacja oprogramowania, reset wszystkich haseł, poprawa uprawnień plików i stały monitoring. Zalecamy również przegląd skuteczności zabezpieczeń takich jak niezaufane wtyczki do przeglądarki oraz potencjalne zainfekowane urządzenia, z których dokonywane było logowanie do strony.
