Wirus na stronie WordPress daje zwykle jeden z czterech objawów: strona przekierowuje odwiedzających na obce adresy, Google albo przeglądarka ostrzega przed wejściem, w wynikach wyszukiwania pojawiają się treści, których nie publikowałeś, albo w panelu są konta, których nikt nie zakładał. Wtedy najważniejsze są pierwsze kroki: kopia obecnego stanu, zmiana haseł i kontakt z hostingiem. Samo usunięcie złośliwego kodu nie wystarczy, trzeba też zamknąć drogę, którą ktoś wszedł, bo inaczej infekcja wraca.
Ten tekst jest dla właściciela strony, który podejrzewa infekcję albo właśnie ją zauważył. Niżej są objawy, kolejność działań, przypadek z mojej praktyki i to, ile kosztuje naprawa.
Objawy wirusa na stronie WordPress
Infekcja rzadko wygląda jak w filmach. Strona zwykle działa, tylko robi coś, czego nie powinna. Typowe sygnały to:
- Przekierowania na obce strony, często tylko dla części odwiedzających, na przykład wchodzących z telefonu albo z wyników Google. Właściciel, który wpisuje adres ręcznie, może niczego nie zauważyć.
- Ostrzeżenie przed wejściem. Według pomocy Search Console zainfekowana strona może dostać etykietę ostrzegawczą w wynikach wyszukiwania, a przeglądarka może pokazać pełnoekranowe ostrzeżenie przed wejściem.
- Obce treści w Google: setki podstron z reklamami leków, kasyn albo podróbek pod Twoim adresem. Część infekcji pokazuje te treści tylko robotom Google, a zwykłym odwiedzającym normalną stronę.
- Nowi administratorzy w panelu WordPressa, nieznane wtyczki albo pliki o dziwnych nazwach.
- Wiadomość od hostingu o rozsyłaniu spamu z Twojego konta albo zablokowanie strony przez hosting.
Jak sprawdzić, czy strona jest zainfekowana
Najprostszy test zrobisz w Google: wpisz site:twojadomena.pl (z adresem swojej strony) i przejrzyj wyniki. Jeśli widzisz podstrony, których nigdy nie było, w obcym języku albo z reklamami, strona jest zainfekowana albo była.
Drugie miejsce to Search Console, bezpłatne narzędzie Google dla właścicieli stron. W raporcie „Problemy dotyczące bezpieczeństwa” Google pokazuje wykryte problemy: treści zmodyfikowane przez hakerów, złośliwe oprogramowanie albo strony podszywające się pod inne serwisy, z przykładowymi adresami. Pusty raport nie daje gwarancji, że strona jest czysta, ale komunikat w nim to pewny sygnał.
Trzecia rzecz to skaner w samym WordPressie, na przykład bezpłatna wersja Wordfence. Skaner porównuje pliki WordPressa oraz wtyczek i motywów dostępnych w katalogu WordPress.org z ich oryginałami i pokazuje różnice do sprawdzenia, które nie zawsze oznaczają infekcję. Nie każda płatna wtyczka ma taki wzorzec, a bezpłatna wersja dostaje nowe sygnatury złośliwego kodu z 30-dniowym opóźnieniem. Jeśli możesz zalogować się do panelu, to szybki sposób na pierwszą ocenę.
Co zrobić od razu po wykryciu infekcji
Kolejność poniżej opiera się na poradniku WordPressa dla zhakowanych stron, uzupełnionym o to, co sprawdza się w praktyce:
- Zapisz, co widzisz: jakie objawy, od kiedy, co ostatnio zmieniano na stronie (nowa wtyczka, aktualizacja, nowy użytkownik). To skraca szukanie przyczyny.
- Zrób kopię obecnego stanu, także zainfekowanego. Przyda się do ustalenia, którędy weszło złośliwe oprogramowanie, i zabezpiecza dane, których nie ma w starszych kopiach.
- Przeskanuj swój komputer programem antywirusowym. Hasła do strony mogły wyciec z zainfekowanego komputera.
- Zmień hasła do WordPressa, hostingu i FTP, z czystego komputera. Hasło do bazy danych zmienia się razem z danymi połączenia w konfiguracji strony, więc zostaw to osobie, która naprawia stronę, razem z wylogowaniem wszystkich aktywnych sesji. Konta administratorów, których nie znasz, usuń po zapisaniu ich danych i upewnieniu się, że nie należą do Twojego wykonawcy.
- Napisz do hostingu. Hosting może widzieć w logach, kiedy i skąd nastąpił atak, i ma kopie zapasowe z ostatnich dni.
Jeśli strona przekierowuje klientów na oszukańcze strony, rozważ jej tymczasowe wyłączenie, na przykład przez stronę z informacją o pracach. Każda godzina takich przekierowań to ryzyko dla Twoich klientów.
Gdy nie możesz zalogować się do panelu
Część infekcji zmienia hasło administratora albo adres e-mail przypisany do konta, żeby właściciel nie mógł się zalogować. Najpierw spróbuj funkcji „Nie pamiętasz hasła?” na stronie logowania. Jeśli wiadomość z linkiem nie przychodzi, adres w koncie mógł zostać podmieniony.
Wtedy dostęp odzyskasz przez hosting: w panelu hostingu jest zwykle menedżer bazy danych, w którym da się zmienić hasło i adres e-mail użytkownika, a pomoc techniczna hostingu zrobi to na prośbę właściciela konta. Po odzyskaniu dostępu przejrzyj listę użytkowników i usuń konta, których nie znasz. Jeśli nie czujesz się pewnie w bazie danych, zostaw to osobie, która będzie naprawiać stronę, bo pomyłka w bazie potrafi wyłączyć całą stronę.
Czego nie robić
Nie usuwaj na ślepo plików, które wyglądają podejrzanie. Złośliwy kod bywa dopisany do prawdziwych plików WordPressa, a usunięcie niewłaściwego pliku wyłączy stronę i nie usunie infekcji.
Nie przywracaj kopii zapasowej bez sprawdzenia, z jakiego dnia jest. Infekcję zdarza się zauważyć dopiero po kilku tygodniach, a wielu dostawców trzyma kopie z ostatnich 28–30 dni. Ile dni kopii daje Twój hosting, sprawdzisz w jego cenniku; więcej o tym piszę w tekście o tym, jak wybrać hosting dla WordPressa. Może się okazać, że wszystkie dostępne kopie są już zainfekowane. Nawet czysta kopia nie pomoże na długo, jeśli po przywróceniu zostanie ta sama nieaktualna wtyczka, przez którą ktoś wszedł.
Nie zgłaszaj strony do ponownego sprawdzenia w Google, dopóki nie jest czysta w całości. Według pomocy Search Console sprawdzenie może potrwać od kilku dni do kilku tygodni. Nie wysyłaj kolejnej prośby przed decyzją, a zgłoszenie strony z nienaprawionym problemem może wydłużyć rozpatrzenie następnej prośby.
Usunięcie wirusa: czyszczenie i zamknięcie luki
Pełna naprawa składa się z dwóch części. Pierwsza to czyszczenie: przywrócenie oryginalnych plików WordPressa w tej samej wersji, usunięcie dodatkowych plików zostawionych przez atakującego oraz sprawdzenie wtyczek, motywów, pozostałych katalogów strony i bazy danych. Samo nadpisanie plików nie wystarczy. Druga to zamknięcie luki: aktualizacja wszystkiego, usunięcie nieużywanych wtyczek, zmiana haseł już po oczyszczeniu, ustalenie, którędy nastąpiło włamanie, i włączenie zapory.
Czysta kopia sprzed infekcji może skrócić naprawę. Najpierw zabezpiecz obecny stan i ustal, jak zachować późniejsze treści, zamówienia i dane klientów, bo przywrócenie starszej bazy je nadpisze. Odtworzoną stronę sprawdź i zamknij drogę ataku, zanim znowu udostępnisz ją klientom.
Gdy strona jest czysta, a Google pokazywał ostrzeżenie, w raporcie „Problemy dotyczące bezpieczeństwa” w Search Console kliknij „Poproś o sprawdzenie”. W prośbie opisz, co było nie tak, co zostało zrobione i z jakim skutkiem. O zdjęciu ostrzeżenia decyduje Google, nie właściciel strony ani wykonawca.
Przypadek z praktyki: trzy sklepy po infekcji
W grudniu 2025 roku wrócił do mnie klient z trzema powiązanymi sklepami na WooCommerce. Wszystkie były zainfekowane: przekierowywały odwiedzających na obce adresy i sprzedaż stanęła. Przeniosłem sklepy na nowy hosting, odtworzyłem wszystkie trzy z czystych kopii zapasowych i zaktualizowałem zabezpieczenia, w tym zaporę Wordfence. Naprawa trzech sklepów zajęła 4 dni. Przy kontroli w październiku 2026 roku, po 10 miesiącach, infekcja nie wróciła.
Ta naprawa poszła sprawnie z jednego powodu: istniały czyste kopie zapasowe sprzed infekcji. Bez nich trwałaby dłużej, bo każdy plik i baza wymagałyby ręcznego czyszczenia.
Ile kosztuje usunięcie wirusa z WordPressa
Koszt naprawy zainfekowanej strony WordPress zależy od zakresu prac: wielkości strony, rozległości infekcji i tego, czy są czyste kopie. Porównując ceny, sprawdź, czy obejmują też usunięcie przyczyny włamania. Jeden z jawnych cenników podaje na przykład 990 zł netto za jedną instalację WordPressa, z terminem do 14 dni od przekazania dostępów.
U mnie naprawa po włamaniu kosztuje od 700 zł netto. Zaczynam w ciągu jednego dnia roboczego od zgłoszenia, a naprawa trwa zwykle 1–3 dni. W cenie są usunięcie złośliwego kodu, przywrócenie strony, aktualizacje, zmiana haseł, zapora i skan oraz zgłoszenie strony do Google, jeśli Google ostrzega przed nią. Jeśli infekcja wróci w ciągu 30 dni, naprawiam ją bez opłaty. Ceny są aktualne na październik 2026.
Jak nie dopuścić do kolejnej infekcji
Wiele włamań na strony WordPress korzysta ze znanych luk, do których są już poprawki, tylko nikt ich nie zainstalował. Dlatego podstawą są regularne aktualizacje WordPressa, motywu i wtyczek oraz codzienna kopia zapasowa trzymana także poza serwerem. Do tego długie, różne hasła i logowanie dwuetapowe dla administratorów. Jak to robić co miesiąc, opisałem w tekście o aktualizacjach i kopiach zapasowych WordPressa.
Jeśli nie chcesz pilnować tego sam, te prace obejmuje opieka nad stroną z hostingiem od 249 zł netto miesięcznie. Opieka nie jest warunkiem naprawy.
Najczęstsze pytania
Czy wirus na stronie może zaszkodzić odwiedzającym?
Tak. Złośliwy kod może przekierowywać na strony wyłudzające dane albo próbować zainstalować szkodliwe oprogramowanie na urządzeniach odwiedzających. Dlatego Google i przeglądarki ostrzegają przed wejściem na takie strony.
Czy hosting usunie wirusa za mnie?
Zwykle nie w całości. Hosting może przywrócić kopię, zablokować stronę albo wskazać zainfekowane pliki, ale za WordPressa, wtyczki i ich aktualizacje odpowiada właściciel strony. Zapytaj swojego dostawcę, co obejmuje jego pomoc.
Czy wystarczy przywrócić kopię zapasową?
Tylko jeśli kopia jest sprzed infekcji i po przywróceniu zamkniesz lukę: zaktualizujesz wszystko i zmienisz hasła. Bez tego strona może zostać zainfekowana ponownie tą samą drogą.
Ile trwa usunięcie wirusa ze strony?
Prostą stronę z czystą kopią da się naprawić w jeden dzień. Gdy kopii brak albo infekcja objęła wiele plików i bazę danych, praca trwa kilka dni. Ostrzeżenie Google znika dopiero po ponownym sprawdzeniu strony przez Google.
Czy po infekcji strona spadnie w Google?
Może, zwłaszcza gdy Google oznaczy ją ostrzeżeniem albo zaindeksuje obce podstrony. Po oczyszczeniu i sprawdzeniu przez Google ostrzeżenie znika, a obce podstrony wypadają z wyników z czasem, gdy zwracają błąd.
Jeśli podejrzewasz infekcję, napisz przez formularz kontaktowy i podaj adres strony oraz to, co widzisz. Sprawdzę stronę bezpłatnie i odpiszę z oceną i ceną naprawy.