Zhakowana strona WordPress: co zrobić krok po kroku

Zhakowaną stronę WordPress ratujesz w tej kolejności: zapisujesz, co widzisz, robisz kopię obecnego stanu, zmieniasz wszystkie hasła i klucze, dopiero potem czyścisz pliki i zamykasz dziurę, którą weszli. Kasowanie na ślepo zostaw na koniec, bo niszczy ślady.

Poniżej cała droga: od rozpoznania włamania, przez sprzątanie i Google, po UODO i zabezpieczenia. Opieram się na instrukcji WordPress.org, pomocy Google i raportach Patchstack, Wordfence i Sucuri. Przy liczbach jest link do źródła.

Z zespołem pilnujemy dziesiątek stron na WordPressie. Zgłoszenie włamania rzadko brzmi „mamy włamanie”. Częściej: „na stronie są dziwne reklamy”, „Google pokazuje ostrzeżenie” albo „strona nie działa, a mam prezentację za godzinę”. U nas podejrzenie włamania ma najwyższy priorytet, razem z niedziałającą stroną i utratą danych. Pierwszy krok zawsze jest ten sam: nie zgadujemy, tylko sprawdzamy, co się faktycznie stało. Jeśli naprawa potrwa, przywracamy czystą wersję z codziennej kopii, a przyczyny szukamy potem.

Aktualizacja: 28 października 2026.

Jak sprawdzić, czy strona WordPress jest zhakowana?

Najpewniejsze sygnały to ostrzeżenie Google w wynikach, wyłączenie strony przez hosting i konta administratora, których nie założyłeś. Część włamań nie widać gołym okiem, więc brak objawów niczego nie dowodzi.

Instrukcja „FAQ My site was hacked” z WordPress.org wymienia takie oznaki:

strona jest na czarnej liście Google, Bing lub podobnej,
hosting wyłączył stronę,
strona jest oznaczona jako rozsyłająca złośliwe oprogramowanie,
czytelnicy mówią, że ich antywirus alarmuje na Twojej stronie,
ktoś pisze, że z Twojej strony idą ataki na inne serwisy,
pojawiły się rzeczy, których nie zlecałeś, na przykład nowi użytkownicy,
strona po prostu wygląda inaczej niż zostawiłeś.

Dochodzą ślady mniej oczywiste: przekierowania na obce domeny tylko na telefonach albo tylko dla osób z Google, nagły spadek ruchu i dziwne podstrony po wpisaniu w Google site:twojadomena.pl.

Jedna rzecz z pomocy Google: nie otwieraj zainfekowanych podstron zwykłą przeglądarką, bo złośliwy kod bywa groźny też dla Ciebie. Do podglądu użyj narzędzia Inspekcja adresu URL w Search Console.

W raporcie Sucuri za 2023 rok oparty na 39 594 oczyszczonych stronach 49,21% miało co najmniej jeden backdoor. Japoński spam SEO, czyli tysiące fałszywych podstron, znaleziono na 10,07% zainfekowanych witryn. Dlatego samo usunięcie widocznego spamu nic nie daje: atakujący wraca furtką.

Pogadajmy

Zrobić to razem?

Wdrażam takie rzeczy w firmach na co dzień. Umów 30 minut, pogadamy konkretnie o Twoim przypadku. Bez prezentacji sprzedażowej.

Umów bezpłatną rozmowę →

Łukasz ŚlusarskiTwórca important.is

Co zrobić w pierwszej godzinie po włamaniu?

Zapisz, co widzisz i o której, zrób kopię strony w obecnym stanie i zmień wszystkie dostępy.

Spisz, co zauważyłeś, o której i co ostatnio zmieniałeś: nową wtyczkę, motyw, ustawienia. WordPress.org nazywa to zalążkiem raportu z incydentu. Przyda się też komuś, kto będzie Ci pomagał.
Zrób kopię zainfekowanej strony. Brzmi dziwnie, ale instrukcja WordPress.org każe ją zrobić przed czyszczeniem. Jeśli sprzątanie pójdzie źle, będziesz miał do czego wrócić.
Zmień hasła do WordPressa (zwłaszcza administratorów), FTP/SFTP, panelu hostingu i bazy danych.
Wygeneruj nowe klucze i sole w wp-config.php w oficjalnym generatorze. Wszyscy zalogowani, także atakujący, zostaną wylogowani. Sama zmiana hasła tego nie zrobi.
Przeskanuj komputer, z którego logujesz się do strony. WordPress.org pisze, że infekcja często zaczyna się lokalnie, od trojana podsłuchującego hasła do FTP i panelu.
Napisz do hostingu. Włamanie mogło objąć więcej niż jedną stronę, a hosting potwierdzi, czy to atak, czy zwykła awaria.

Prowadzisz sklep albo formularze z danymi klientów? Od razu przeczytaj sekcję o UODO niżej. Termin liczy się od stwierdzenia naruszenia.

Przywrócić kopię zapasową czy czyścić stronę ręcznie?

Jeśli masz czystą kopię sprzed włamania, przywrócenie jest zwykle szybsze i pewniejsze niż szukanie złośliwego kodu. Warunek: wiesz, od kiedy strona jest zainfekowana, i zamykasz dziurę, bo inaczej wejdą drugi raz. Google w swojej pomocy też dopuszcza obie drogi: podmianę plików na czystą kopię albo ręczne usunięcie spamu.

Sytuacja	Co robisz
Znasz datę włamania, kopia jest starsza	Przywracasz kopię, od razu aktualizujesz wszystko, zmieniasz dostępy i klucze
Nie wiesz, kiedy to się stało, albo kopie nadpisały się zainfekowaną wersją	Czyścisz ręcznie
Kopie leżą na tym samym serwerze co strona	Traktujesz je jak podejrzane, bo włamywacz widzi je tak samo jak Ty

Przywrócona kopia ma tę samą wtyczkę z tą samą dziurą. Patchstack w raporcie za 2024 rok pisze wprost: „Relying on updates is not enough to be safe”. Kolejność jest stała: kopia, natychmiast aktualizacja, dopiero potem ruch na stronę.

Wolisz to zlecić? 30 minut, bez zobowiązań. Sprawdzimy czy to ma sens.

Zarezerwuj termin →

Jak wyczyścić zhakowaną stronę WordPress?

Podmień pliki rdzenia na świeże, tej samej wersji, wtyczki i motywy zainstaluj od nowa z oficjalnych źródeł, a potem sprawdź konta, pliki i bazę. To żmudna robota, ale każdy krok ma sens.

Rdzeń: pobierz dokładnie tę wersję WordPressa, której używasz. Starsza albo nowsza może zabić stronę. Wgraj przez SFTP, nie przyciskiem „zainstaluj ponownie” w panelu, bo ten tylko nadpisuje istniejące pliki, a włamania dokładają nowe. Katalogi wp-admin i wp-includes możesz podmienić bez obaw.
Wtyczki i motywy: zainstaluj od nowa z repozytorium WordPress.org albo od autora, przy premium z paczki dostawcy. Niepotrzebną wtyczkę usuń zamiast dezaktywować.
Pliki, które włamywacze lubią: .htaccess (może leżeć też w podkatalogach), index.php, header.php, footer.php, functions.php. Zmiana w którymś z nich działa na każdą odsłonę strony.
Użytkownicy: usuń konta, których nie rozpoznajesz.
Katalog wp-content/uploads: pliki PHP nie mają tam czego szukać. Tego zapisu nie ma w instrukcji WordPress.org, to ogólna zasada: skrypt w katalogu na obrazki zwykle oznacza kłopot.
Baza i wp-config.php: obce wpisy, przekierowania, zakodowane ciągi znaków, zadania w harmonogramie (cron).
Skan po sprzątaniu: skaner we wtyczce (Wordfence, Sucuri, Quttera albo GOTMLS) i zewnętrzny (VirusTotal albo SiteCheck). WordPress.org zaleca oba rodzaje, bo patrzą na co innego.
Jeszcze raz zmień hasła, tym razem po upewnieniu się, że strona jest czysta. Hasła zmienione w trakcie włamania mogły zostać przechwycone. Zaktualizuj też WordPressa do najnowszej wersji.

Na końcu zamknij dziurę. To najczęściej pomijany krok. Zastanów się, którą wtyczkę albo motyw możesz podejrzewać, sprawdź ich nazwy w bazie podatności Patchstack lub Wordfence i zobacz, czy masz aktualną wersję. Jeśli nie, masz prawdopodobnego winnego.

Bywa, że aktualizacji nie ma. Według Patchstack w 2025 roku 46% podatności nie miało poprawki od autora w chwili ujawnienia. Porzuconą wtyczkę trzeba wymienić na inną.

Co zrobić z Google, gdy strona dostała ostrzeżenie?

Otwórz Google Search Console i raport „Problemy dotyczące bezpieczeństwa”. Prośbę o ponowne sprawdzenie wyślij dopiero wtedy, gdy wyczyściłeś wszystkie problemy na wszystkich podstronach.

Tak mówi pomoc Search Console. W prośbie opisz, co było nie tak, co zrobiłeś i jaki jest wynik. Nie wysyłaj jej drugi raz, zanim przyjdzie decyzja. Zgłoszenie za wcześnie albo powtórzone wydłuża rozpatrywanie.

Ile to trwa? Google podaje to samo dla malware i dla spamu z włamania: od kilku dni do kilku tygodni. Pozycji nie odzyskasz więc z dnia na dzień.

Zajrzyj też do Bing Webmaster Tools, bo czarne listy nie kończą się na Google.

Czy muszę zgłosić włamanie do UODO?

Jeśli doszło do naruszenia ochrony danych osobowych, administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia. Wyjątek: naruszenie raczej nie powoduje ryzyka dla praw lub wolności osób, których dane dotyczą.

Dotyczy to sklepów i stron z zamówieniami, rezerwacjami albo formularzami kontaktowymi, bo tam w bazie leżą imiona, maile, adresy i telefony. Spam SEO w podstronach to co innego niż wyciek bazy klientów. Ocena ryzyka należy do administratora danych, czyli do Twojej firmy. Gdy nie masz pewności, zapytaj prawnika albo inspektora ochrony danych.

Zgłoszenie robisz elektronicznie. Procedurę opisuje UODO, a usługa jest na portalu biznes.gov.pl (potrzebny Profil Zaufany albo podpis kwalifikowany). Gdy ryzyko dla osób jest wysokie, musisz też powiadomić je same.

Nawet jeśli uznasz, że zgłaszać nie trzeba, RODO w art. 33 ust. 5 każe udokumentować każde naruszenie: fakty, skutki i co zrobiłeś. Notatka z pierwszej godziny właśnie do tego się przyda.

Skąd biorą się włamania na WordPressa?

Najczęściej z wtyczek, rzadziej z motywów. Rdzeń WordPressa zdarza się rzadko, ale w tym roku zdarzył się dwa razy. Atakujący wykorzystują znane, niezałatane dziury i robią to w ciągu godzin.

W 2025 roku znaleziono 11 334 nowe podatności, o 42% więcej niż rok wcześniej. 91% było we wtyczkach, 9% w motywach, a w rdzeniu zgłoszono sześć, wszystkie niskiego priorytetu (Patchstack).
Mediana czasu do pierwszego ataku na najczęściej atakowane podatności to według Patchstack 5 godzin. Mniej więcej połowa podatności o wysokim wpływie jest wykorzystywana w ciągu doby.
Komponenty premium miały trzy razy więcej znanych, wykorzystywanych podatności niż darmowe (ten sam raport Patchstack). Płatna wtyczka nie znaczy bezpieczna.
Wordfence liczył za 2024 rok podobnie: wtyczki to 96% ujawnionych podatności.

Rdzeń w 2026 roku wygląda gorzej niż w statystykach za 2025. 17 lipca wyszło WordPress 7.0.2 z poprawką krytycznej luki, a 22 września WordPress 7.1.2 z kolejną krytyczną: niezalogowany atakujący mógł przy pewnych warunkach zmusić stronę do wczytania wybranego pliku PHP z serwera. 28 października wyszło WordPress 7.1.4 z kolejnymi poprawkami bezpieczeństwa, w tym słabości w samym procesie aktualizacji. Patchstack zanotował pierwsze próby ataku na lipcową lukę około 90 minut po wydaniu poprawki. Przy aktualizacjach raz w miesiącu strona jest przez ten czas otwarta.

Wniosek nie brzmi „WordPress jest dziurawy”. Dziury są i w rdzeniu, i we wtyczkach, a ludzie łatają je za późno. Wtyczki warto wybierać świadomie, zobacz naszego przeglądu najlepszych pluginów WordPress.

Jak zabezpieczyć WordPressa, żeby się nie powtórzyło?

Aktualizuj w ciągu dni, usuń to, czego nie używasz, włącz drugi składnik logowania i trzymaj kopie poza serwerem strony. Żadna z tych rzeczy sama nie wystarczy, razem zamykają większość dróg.

Aktualizacje rdzenia, wtyczek i motywu w ciągu dni, nie miesięcy.
Niepotrzebne wtyczki usuń. Mówi to wprost instrukcja zabezpieczania WordPressa: jeśli nie używasz wtyczki, skasuj ją z systemu.
Długie, unikalne hasła i uwierzytelnianie dwuskładnikowe dla wszystkich administratorów. WordPress.org wymienia wtyczki Rublon i Duo.
Wyłącz edytor plików w panelu stałą DISALLOW_FILE_EDIT. Dokumentacja uczciwie zastrzega, że nie powstrzyma to wgrania złośliwego pliku, ale może zatrzymać część ataków.
Uprawnienia: katalogi 755, pliki 644, a plik wp-config.php 400 albo 440 (czytać może tylko Ty i serwer WWW).
Firewall i regularny skan.
Regularne kopie w innym miejscu niż strona i sprawdzenie, że da się je odtworzyć. Kopia, której nikt nie odtwarzał, to nadzieja, nie kopia.
Logowanie i formularze: czytaj o ochronie przed atakami brute force i o zabezpieczeniu formularza na stronie.

Nie chcesz robić tego ręcznie? W opiece nad stroną WordPress pakiet Start kosztuje 399 zł netto miesięcznie. Aktualizacje testujemy najpierw na kopii strony na naszym serwerze w Europie, kopie są codzienne i leżą poza serwerem strony, do tego firewall, skan i monitoring dostępności. Jeśli coś mimo to przejdzie, przywracamy stronę w ramach opieki. Podejrzenie włamania traktujemy jako alarm: w godzinach pracy (8:00 do 16:00) reagujemy w ciągu godziny, poza nimi do 4 godzin. Jak to wygląda w pieniądzach, opisujemy w tekście ile kosztuje opieka nad stroną WordPress.

Kiedy sprzątanie na własną rękę to zły pomysł?

Gdy w bazie są dane klientów, gdy strona zarabia albo gdy po czyszczeniu infekcja wraca. Ten tekst daje porządek działań, ale nie zastąpi analizy konkretnego włamania.

WordPress.org sam pisze, że jego kroki „nie są wyczerpujące”, bo nie da się opisać każdego scenariusza.
Jeśli infekcja wraca, został backdoor albo niezamknięta dziura. Zgadywanie na działającym sklepie jest drogie.
Kopia nie wyleczy tego, że atakujący miał dostęp do bazy. Wyciek danych to osobny problem prawny.
Zainfekowany komputer albo to samo hasło używane gdzie indziej sprowadzą problem z powrotem.

Wtedy rozsądniej oddać stronę komuś, kto robi to na co dzień.

Co możesz zrobić dziś?

Pół godziny wystarczy. Sprawdź, czy masz kopię poza serwerem i czy ktoś ją kiedyś odtwarzał. Przejrzyj listę użytkowników i usuń konta, których nie znasz. Usuń wtyczki, których nie używasz, i zrób zaległe aktualizacje. Wpisz w Google site:twojadomena.pl i przewiń wyniki w poszukiwaniu podstron, których nie robiłeś. Dodaj stronę do Google Search Console, żeby ostrzeżenia dochodziły do Ciebie, a nie do klientów.

My w important.is z zespołem pilnujemy dziesiątek stron na WordPressie. Jeśli chcesz, sprawdzimy Twoją w ramach bezpłatnego audytu: szybkość, bezpieczeństwo, stan aktualizacji i kopie. Raport zostaje u Ciebie, nawet jeśli nie zaczniemy współpracy.

Najczęściej zadawane pytania

Ile kosztuje naprawa zhakowanej strony WordPress?

Zależy od liczby zainfekowanych plików, od tego, czy jest czysta kopia, i od tego, czy wyciekły dane, więc uczciwą kwotę da się podać dopiero po sprawdzeniu strony. W naszej opiece nad stroną włamanie to awaria: naprawiamy ją z godzin w pakiecie, a gdy ich zabraknie, i tak naprawiamy. Bez opieki zaczynamy od bezpłatnego audytu i wyceny przed startem prac.

Czy zhakowana strona WordPress wróci do wyników Google?

Tak, po sprzątaniu i prośbie o ponowne sprawdzenie w Search Console. Google podaje, że trwa to od kilku dni do kilku tygodni.

Czy wtyczka bezpieczeństwa wystarczy?

Nie. Wtyczka to firewall i skaner, a większość włamań to niezałatane dziury i słabe dostępy. Według Patchstack 46% podatności z 2025 roku nie miało poprawki w chwili ujawnienia, więc dochodzi usuwanie porzuconych wtyczek.

Skąd wiem, że strona jest już czysta?

Skan we wtyczce i skan zewnętrzny nic nie znajdują, nie ma obcych administratorów ani plików PHP w uploads, a przez kilka dni nic nie wraca. Sprawdź też stronę w Inspekcji adresu URL, bo część włamań pokazuje robotom inną treść niż ludziom.

Czy zmiana hasła po włamaniu wystarczy?

Nie. WordPress.org nazywa hasło jednym małym elementem większego problemu. Zmień też klucze i sole w wp-config.php, żeby wylogować aktywne sesje, i zamknij lukę, którą weszli. Hasła zmień drugi raz, gdy strona jest już czysta.

raz na jakiś czas

Zostań w pętli

Nowe artykuły, narzędzia i case study prosto na maila. Bez spamu, bez sprzedaży.