WordPress взломан: pharma-spam и редиректы — план очистки

В поиске по бренду вылезают чужие медицинские объявления и сомнительные страницы. С телефона сайт уводит на спам, с компьютера «вроде нормально». Клиенты пишут, что антивирус ругается. Админка открывается, но в файлах уже чужие скрипты, в планировщике — задачи, которых не ставили, в базе — мусорные страницы.

Такая компрометация WordPress — классика. Чистить «глазами» опаснее, чем кажется: можно снести органику или оставить скрытый вход.

Бизнес-риск здесь двойной: репутация сейчас и потеря трафика на недели вперёд, если поиск пометит сайт или заспамленный индекс останется без разбора.

Как обычно заражают

Устаревшие плагины и темы. Слабые пароли и грубый перебор. Случайные плагины «из интернета». Заражённый компьютер редактора. Плохие права на файлы. После входа — оболочки, дописи в шаблоны, спам в загрузках, редиректы только для роботов или мобильных браузеров.

Ошибки при «лечении»

Удалить видимый спам и решить, что чисто. Переустановить систему поверх без смены секретов. Восстановить старый бэкап вместе с дырой. Массово закрыть индекс и убить органику. Не проверить кабинет вебмастера на предупреждения безопасности.

Рабочий порядок очистки

Изолировать: режим обслуживания, по возможности ограничить запись, сменить пароли панелей после снимка для анализа. Сравнить ядро, темы и плагины с чистыми дистрибутивами. Проверить загрузки, служебные плагины, планировщик, пользователей, правила сервера. Вычистить базу. Обновить, убрать лишнее, усилить вход.

Поисковый контур: найти мусорные адреса в индексе, убрать спам, запросить переобход, проверить статус безопасности. Сохранить легитимную структуру и контент — чтобы не потерять позиции вместе с инфекцией.

После очистки — контроль целостности файлов и регулярные обновления. Иначе история повторится.

Частые вопросы

Достаточно ли сменить пароль админа? Нет, если остались скрытые файлы и старые уязвимые плагины.

Нужно ли сообщать в поиск? Если есть пометки безопасности или спам в индексе — да, по процессу кабинета вебмастера.

На что смотреть через месяц

Улучшение проверяют фактами: меньше жалоб, выше конверсия нужного шага, меньше ручных исправлений, короче время реакции, понятнее ответственность. Если через месяц обходные пути живы, официальный процесс ещё не стал основным.

Зафиксируйте исходные цифры до изменений — иначе спор «помогло или нет» будет бесконечным. Сверьте ожидания бизнеса и техники: им часто нужны разные метрики.

Практический минимум на две недели

Выберите один узкий сценарий и доведите его до рабочего состояния с владельцем, проверкой и коротким регламентом. Не распыляйтесь на десять параллельных «улучшений». Короткий документ с доступами и шагами восстановления обновляйте после первого же сбоя.

Назначьте персонального владельца контура. Заместитель нужен, но имя ответственного должно быть одно — иначе в инциденте снова начнётся футбол.

Итог

Взлом WordPress — не только стыд перед клиентами. Это риск санкций поиска, потеря трафика и повторный вход, если закрыли симптом. План очистки всегда включает дыру, следы, доступы и поиск — одним пакетом. Каждый день заражённого индекса дороже часа нормального разбора.

Имеет смысл отдельно спросить пользователей, какими обходными путями они всё ещё пользуются. Именно эти пути показывают незакрытую боль лучше любого отчёта о статусе проекта.