Feltört WordPress oldal helyreállítása – valós esetekkel

Feltört a WordPress-oldala? A leggyorsabb biztonságos út: elkülönítés, a fertőzés teljes feltérképezése, tisztítás eredeti forrásból, a belépési rés lezárása, majd jelszó- és kulcscsere. A SaSFly.net csapata 2026-ban több mint húsz feltört oldalt állított helyre – lent megmutatjuk, milyen támadásokkal találkoztunk valójában, és hogyan dolgozunk.

Frissítve: 2026. október. Az esetek valósak, az ügyfelek nevét és a domaineket nem közöljük.

Honnan tudhatja, hogy feltörték az oldalát?

A legtöbb fertőzés láthatatlan: a látogató és a tulajdonos a megszokott oldalt látja, a támadó viszont a Google-nek, egy adott országból érkezőknek vagy csak bizonyos időszakban mást mutat. Gyanús jelek:

• a Google-találatokban idegen nyelvű (japán, török, orosz) címek vagy kaszinós, gyógyszeres kulcsszavak jelennek meg az oldala neve alatt;
• a Search Console-ban hirtelen sok új, ismeretlen URL vagy „Biztonsági problémák” figyelmeztetés jelenik meg;
• a Chrome vagy a Safe Browsing „megtévesztő oldal” figyelmeztetést ad;
• az ügyfelek panaszkodnak, hogy átirányítást vagy furcsa felugró ablakot láttak;
• a tárhely lelassul, a szerver erőforrása elfogy, vagy a levelek spamként pattannak vissza;
• ismeretlen adminisztrátor jelenik meg a felhasználók között.

Valós WordPress-hackek, amelyeket 2026-ban találtunk

Az alábbi esetek mind általunk üzemeltetett vagy átvett oldalakon fordultak elő. Közös bennük, hogy egy egyszerű „biztonsági bővítményes szkennelés” egyiket sem találta meg teljesen.

1. Álca-bővítmény, ami rendes pluginnak látszik

Öt oldalon egyszerre bukkant fel egy ártatlannak tűnő nevű bővítmény. Fejléce, verziószáma, leírása hihető volt, a kódja viszont távoli parancsokat futtatott. Egy másik esetben egy „cache-kezelő” álca-bővítmény egy banki adathalász oldalt szolgált ki egy rejtett alkönyvtárból – emiatt a Google Safe Browsing az egész domaint veszélyesnek jelölte. Tanulság: a bővítménylistát nem elég ránézésre ellenőrizni, a fájlokat a hivatalos forrással kell összevetni.

2. Webshell a WordPress-mag fájljai között

Két oldalon több mint 130 fájlba ágyazódott ugyanaz a hátsó ajtó, egy távoli vezérlőszerverrel kommunikálva. A fertőzött fájlok a WordPress saját könyvtáraiban bújtak meg, ezért a tulajdonos azt hitte, „frissítéskor felülíródnak”. Nem íródtak felül. A mag teljes újratelepítése és fájlszintű ellenőrzés kellett.

3. Titkosított linkfarm az adatbázisban

Egy forgalmas blogon szerencsejáték-linkek jelentek meg – de csak a Google robotjának és csak bizonyos IP-címekről nézve. A kód egy bővítmény beállításai közé, XOR-titkosítva volt elrejtve az adatbázisban, ezért fájlszinten semmi nem látszott. Ilyen „cloaking” fertőzést csak úgy lehet megtalálni, ha az oldalt a keresőrobot szemével is lekérjük, és az adatbázist is átvizsgáljuk.

4. Doorway-oldalak és spam-sitemapek

Egy régi feltörés után az oldal főfájljába egy átirányító kód került, amely idegen nyelvű „kapuoldalakat” generált. Évekkel később is a Google több ezer kamu URL-t kért le a régi spam-sitemapekből, ami túlterhelte a szervert. A tisztítás után 410-es („véglegesen eltávolítva”) választ állítottunk be, és a Search Console-ból töröltük a spam-sitemapeket.

5. .htaccess-dropper, ami újranyitja az ajtót

Több oldalon egy ártalmatlannak látszó .htaccess-szabály engedélyezte a PHP-futtatást olyan fájlnevekre, amelyekben a támadó később hátsó ajtót helyezett el. Ha ezt a szabályt nem törli, a tisztítás után napokon belül újra fertőzött lesz az oldal.

6. Fájlkezelő és webshell a feltöltések között

Egy felhőpanelen futó oldalcsoportnál egy nyílt forrású fájlkezelő és egy elgépelt nevű defauit.php webshell volt kilenc tárhelyen. A belépés egy régi, gyenge FTP-jelszón keresztül történt.

7. Nem feltörés, de ugyanolyan veszélyes: kiszivárgó adatok

• Nyilvános .git könyvtár: egy szkenner a verziókezelő mappán keresztül letöltötte a wp-config.php-t – benne az adatbázis-jelszóval.
• Letölthető mentésarchívum: egy régi Duplicator-mentés (31 MB, adatbázissal) évekig bárki számára elérhető volt a wp-content mappában.
• Nyílt levelezőrelé: egy feltört hírlevélfiókon keresztül több ezer spam ment ki, a szerver IP-címe feketelistára került.

Így állítjuk helyre a feltört oldalt

1. Elkülönítés és mentés: a fertőzött állapotról bizonyíték-mentés készül, a kártékony kéréseket a PHP előtt letiltjuk, hogy a látogatók ne kapjanak fertőzött tartalmat.
2. Teljes feltérképezés: fájl-ellenőrzés a hivatalos WordPress-, bővítmény- és sablonforrásokkal összevetve, adatbázis-vizsgálat (rejtett opciók, titkosított kódrészek, ismeretlen adminok), a webszerver-naplók elemzése a belépés időpontjáig visszamenőleg.
3. Tisztítás eredeti forrásból: a mag és a bővítmények újratelepítése ellenőrzött csomagból, a fertőzött fájlok karanténba helyezése (nem törlése – visszakereshető marad).
4. A rés lezárása: sebezhető vagy elhagyott bővítmény eltávolítása, fájljogosultságok rendbetétele, PHP-futtatás tiltása a feltöltések mappájában, webszerver-szintű szabályok a szkennerek ellen.
5. Kulcscsere: WordPress-sók, adatbázis-, FTP- és admin-jelszavak cseréje – és a jelszócsere után a mentőbővítmények, Site Kit, HubSpot és hasonló integrációk újracsatlakoztatása, mert ezek a régi kulcsokkal titkosított beállításokat már nem tudják olvasni.
6. Google-tisztázás: Search Console-felülvizsgálati kérelem, spam-URL-ek eltávolítása, sitemap újraküldése.
7. Utókövetés: 30 napos fokozott megfigyelés (fájlintegritás, behatolásjelzés, naplóelemzés).

Mennyi idő és mennyibe kerül?

Egy egyszerűbb, egyetlen hátsó ajtós fertőzés jellemzően egy munkanap alatt rendbe tehető. Az adatbázisba rejtett, cloakingot használó vagy több oldalra kiterjedő fertőzés több napig is tarthat. Az árat a vizsgálat után, előre rögzítjük – kérjen díjmentes első felmérést az alábbi űrlapon.

Gyakori kérdések

Elég, ha telepítek egy biztonsági bővítményt?

Megelőzésre hasznos, de egy már feltört oldalon a bővítmény a fertőzött rendszeren belül fut – a támadó kódja el is rejtheti magát előle. Az általunk talált esetek nagy részét ezek a bővítmények nem jelezték.

Visszaállíthatom egyszerűen egy régi mentésből?

Csak ha biztosan tudja, mikor történt a betörés, és a mentés annál régebbi. A visszaállítás a rést nem zárja be: ha a sebezhetőség megmarad, napokon belül újra feltörik az oldalt.

Mi lesz a Google-helyezéseimmel?

Gyors és alapos tisztítás után a helyezések jellemzően visszaállnak. A legnagyobb kárt a hosszan fennálló, a Google-nek mutatott spam-tartalom okozza, ezért érdemes azonnal lépni.

Kell jelszót cserélnem, ha már kitisztították az oldalt?

Igen. Minden olyan jelszót és kulcsot, amely a feltört rendszerben tárolva volt vagy oda beíródott, cserélni kell – különben a támadó a régi hozzáféréssel visszatérhet.

Kapcsolódó szolgáltatásaink

• Levélkézbesítés (SPF, DKIM, DMARC)
• Céges e-mail tárhely
• WordPress-üzemeltetés és mentés
• Zimbra támogatás vége – mire váltsunk?
• VPS és tárhely