كيف تصلح موقع ووردبريس مخترقًا

تغطي هذه الصفحة ما يجب فعله في الساعات الأولى بعد اكتشاف الاختراق: ما الذي تحميه، وما الذي تقرره، وبأي ترتيب تعمل. وإذا لم تكن متأكدًا من أن الموقع مخترق، فأجرِ أولًا الفحص في خمس دقائق. وعندما تصل إلى التنظيف نفسه، ستجد في كيف تزيل البرمجيات الخبيثة من موقع ووردبريس أوامر الملفات وقاعدة البيانات.

الخطوات السبع في لمحة

1. خذ نسخة احتياطية من الموقع كما هو الآن. الملفات وقاعدة البيانات.
2. قرر: إيقاف أم استمرار. بحسب ما يراه الزوار.
3. تحقق من جوجل. مشاكل الأمان في Search Console.
4. حدّد حجم الضرر. ثلاثة فحوصات سريعة.
5. غيّر كل بيانات الدخول. الاستضافة أولًا وووردبريس أخيرًا.
6. أزل البرمجيات الخبيثة. النواة والإضافات والقوالب وقاعدة البيانات.
7. أغلق نقطة الدخول. ثم راقب لمدة أسبوع.

الخطوة 1: خذ نسخة احتياطية من الموقع تمامًا كما هو

قبل تغيير أي شيء، انسخ الموقع المصاب: كل الملفات وقاعدة البيانات. هذه ليست النسخة التي ستستعيد منها. إنها دليل يمكنك المقارنة به لاحقًا، وستطلبه منك شركة الاستضافة أو خدمة أمنية إن احتجت إلى مساعدة. من مجلد ووردبريس عبر SSH:

wp db export ~/infected-backup.sql
tar -czf ~/infected-files.tar.gz .

بدون SSH، استخدم أداة النسخ الاحتياطي لدى استضافتك أو نزّل الموقع عبر SFTP، وصدّر قاعدة البيانات من phpMyAdmin.

الخطوة 2: قرر هل توقف الموقع عن العمل

تعتمد الإجابة على ما يراه الزوار الآن.

• أوقفه إذا كان الزوار يُعاد توجيههم، أو تُقدَّم لهم برمجيات خبيثة أو صفحات تصيّد، أو كان الموقع مشوَّهًا بشكل واضح. استخدم وضع الصيانة أو إيقافًا على مستوى الخادم. كل دقيقة يبقى فيها الموقع يعمل هي ضرر لزوارك.
• اتركه يعمل إذا بدت المشكلة محصورة في الواجهة الخلفية، مثل ملف مشبوه أو حساب مسؤول غير مألوف، ولا يرى الزوار أي خلل. تقدّم بسرعة عبر الخطوات التالية وتعامل مع الأمر على أنه عاجل.

الخطوة 3: تحقق مما إذا كانت جوجل قد أبلغت عن الموقع

افتح Google Search Console وانتقل إلى الأمان والإجراءات اليدوية ← مشاكل الأمان. إذا أبلغت جوجل عن الموقع، فقد يرى الزوار تحذيرًا قبل وصولهم إليه. وهذا غالبًا ما يعرف منه المالكون لأول مرة أنهم تعرضوا للاختراق. دوّن ما يقوله التقرير. بعد التنظيف ستطلب مراجعة، وتتوقع جوجل تفاصيل عما وُجد وما أُصلح.

الخطوة 4: حدّد حجم الضرر بثلاثة فحوصات سريعة

لا تحتاج بعد إلى تدقيق كامل. تخبرك ثلاثة أوامر تقريبًا بمدى عمق المشكلة:

wp user list --role=administrator
find wp-content/uploads -name "*.php"
wp core verify-checksums

يعرض الأول المسؤولين، لتكتشف أي حساب لم تنشئه. ويجد الثاني ملفات PHP في مجلد uploads الذي يجب أن يحتوي على وسائط فقط. ويقارن الثالث نواة ووردبريس بالملفات الرسمية. وإذا لم تستطع استخدام SSH، فإن دليل الاكتشاف يبيّن كيف تفحص الأمور نفسها من wp-admin ومدير الملفات في استضافتك. ظهور صفحة سبام عند البحث عن site:yourdomain.com يعني عادةً أن قاعدة البيانات تغيّرت أيضًا وليس الملفات فقط.

الخطوة 5: غيّر كل بيانات الدخول، الآن

افعل ذلك قبل التنظيف لا بعده. إذا كان المهاجم ما زال يملك تسجيل دخول صالحًا، فيمكن التراجع عن أي شيء تنظّفه. استخدم حاسوبًا تثق به، فبرنامج تسجيل لوحة المفاتيح على حاسوبك سيسلّم كلمات المرور الجديدة. اعمل بهذا الترتيب، من الأقوى إلى الأضعف:

1. تسجيل الدخول إلى الاستضافة أو cPanel، بالإضافة إلى كل حسابات SFTP وSSH. احذف مفاتيح SSH التي لا تعرفها وأضف مفاتيح جديدة.
2. كلمة مرور قاعدة البيانات. غيّرها في لوحة استضافتك، ثم حدّث DB_PASSWORD في wp-config.php.
3. كل مسؤولي ووردبريس ومحرريه. احذف الحسابات التي لا تعرفها.
4. مفاتيح الأمان وsalts. هذا يُخرج كل الجلسات الحالية، بما فيها جلسة المهاجم:

   wp config shuffle-salts

5. المفاتيح الخارجية المخزَّنة على الموقع، مثل مفاتيح الدفع والبريد وواجهات API.

الخطوة 6: أزل البرمجيات الخبيثة

بعد احتواء الموقع وحفظ الأدلة وتغيير بيانات الدخول، يصبح التنظيف عملية مستقلة: استبدال النواة، وإعادة تثبيت الإضافات والقوالب، وفحص أماكن الاختباء المعتادة، وتنظيف قاعدة البيانات. اتبع كيف تزيل البرمجيات الخبيثة من موقع ووردبريس. وإذا اشتبهت في وجود تسجيل دخول مخفي تركه المهاجم، فاقرأ كيف تجد باب خلفي في ووردبريس.

الخطوة 7: اكتشف كيف دخلوا

الخطأ الأكثر شيوعًا هو التوقف عند «الموقع نظيف». فإذا بقيت الطريق مفتوحة، يعمل الهجوم نفسه مجددًا. افحص بهذا الترتيب:

• الإضافات والقوالب القديمة أو المهجورة. يعرض wp plugin list --update=available التحديثات المعلّقة. والإضافة التي لم تُحدَّث منذ سنوات خطر حتى لو لم يكن هناك تحديث معلّق. ابحث عن اسم الإضافة في قواعد بيانات الثغرات العامة، مثل تلك التي تديرها Patchstack وWPScan وWordfence.
• القوالب والإضافات المقرصنة أو «nulled». غالبًا ما تأتي وفيها برمجيات خبيثة مدمجة.
• سجلات الوصول في خادمك. ابحث عن طلبات POST إلى ملفات PHP لا يجب أن تتلقاها، خصوصًا في wp-content/uploads ومجلدات الإضافات. توفّر معظم الاستضافات سجلات الوصول الخام في لوحة التحكم.
• النسخة المصابة من الخطوة 1. الملفات ذات أقدم تاريخ تعديل مشبوه تشير إلى أول اختراق.

بعد التنظيف، افحص مجددًا بعد 24 ساعة وبعد أسبوع. عودة ملف أو حساب مسؤول تعني أنه فاتك شيء. وعندما يصبح الموقع نظيفًا، اطلب مراجعة من جوجل ضمن مشاكل الأمان في Search Console.

هل ينبغي أن تستعيد نسخة احتياطية بدلًا من ذلك؟

فقط إذا كانت النسخة أقدم من الإصابة وأغلقت أيضًا نقطة الدخول. استعدها، وحدّث ووردبريس وكل إضافة وكل قالب فورًا، وغيّر كل بيانات الدخول. فالنسخة المأخوذة بعد بدء الإصابة تعيد البرمجيات الخبيثة معها.