تنظيف موقع ووردبريس مخترق لا يعني حذف الملف الذي يظهر فيه الكود الغريب ثم إغلاق الصفحة. في أغلب الحالات يترك المهاجم أكثر من باب خلفي، فإذا نظفت ما تراه فقط عاد الاختراق خلال أيام. التنظيف الصحيح عملية مرتبة: احتواء الضرر، ثم فهم ما حدث، ثم الإزالة الكاملة، ثم إغلاق الثغرة التي دخل منها المهاجم.
هذا الدليل لمن تأكد أن موقعه مخترق ويريد معرفة ماذا يفعل الآن. إذا لم تكن متأكدًا بعد، ابدأ بدليل كيف تعرف أن موقع ووردبريس مخترق، ثم ارجع إلى هنا.
الخلاصة
رتّب الاستجابة هكذا: احتواء الضرر، ثم نسخة كاملة من الحالة الحالية، ثم تحديد نطاق الاختراق ونقطة الدخول، ثم تنظيف الملفات وقاعدة البيانات أو الاستعادة من نسخة نظيفة مؤكدة، ثم تغيير كل بيانات الدخول والمفاتيح، ثم إغلاق الثغرة، ثم طلب مراجعة من Google، ثم مراقبة الموقع لعدة أسابيع. أي خطوة تُتجاوز تزيد احتمال عودة الاختراق.
أخطاء شائعة تجعل الاختراق يعود
- حذف الملفات الظاهرة فقط وترك الأبواب الخلفية المخفية في مجلدات أخرى أو في قاعدة البيانات.
- استعادة نسخة احتياطية مصابة لأن الاختراق بدأ قبل تاريخ النسخة دون أن يلاحظه أحد.
- تغيير كلمة مرور ووردبريس وحدها مع إبقاء كلمات مرور الاستضافة وFTP وقاعدة البيانات كما هي.
- تركيب إضافة حماية بعد الاختراق والاكتفاء بها، بينما الإضافة لا تزيل ما زرعه المهاجم بالضرورة.
- التنظيف دون تحديث المكون الضعيف، فيدخل المهاجم من الثغرة نفسها مرة أخرى.
الخطوة 1: احتوِ الضرر
الهدف الأول هو منع الضرر من الاتساع أثناء العمل:
- إذا كان الموقع يحوّل الزوار أو ينشر برامج ضارة، فعّل وضع الصيانة أو اقصر الوصول على عنوان IP الخاص بك مؤقتًا.
- في متاجر WooCommerce، إذا اشتبهت في سرقة بيانات الدفع، أوقف صفحة الدفع مؤقتًا وتواصل مع مزود بوابة الدفع.
- أبلغ شركة الاستضافة، فقد تكون لديها سجلات أو أدوات فحص على مستوى الخادم، وقد تكون مواقع أخرى على الحساب نفسه مصابة أيضًا.
الخطوة 2: خذ نسخة كاملة من الحالة الحالية
قبل أي تعديل، انسخ كل ملفات الموقع وقاعدة البيانات كما هي، واحفظها خارج الخادم مع تسمية واضحة تفيد بأنها نسخة مصابة. هذه النسخة لا تُستعاد أبدًا، لكنها ضرورية لسببين: تحليل ما حدث ومعرفة نقطة الدخول، والرجوع إليها إذا كسر التنظيف وظيفة مهمة واحتجت إلى مقارنة الملفات.
الخطوة 3: حدد نطاق الاختراق ونقطة الدخول
استخدم خطوات الفحص الموضحة في دليل اكتشاف الاختراق لتحديد الملفات المعدلة، والمستخدمين المضافين، والمحتوى المحقون. ثم حاول الإجابة عن سؤالين:
- متى بدأ الاختراق؟ تواريخ تعديل الملفات المشبوهة وأول طلبات غريبة في سجلات الخادم تعطيك تاريخًا تقريبيًا.
- من أين دخل المهاجم؟ أشهر نقاط الدخول هي: إضافة أو قالب قديم به ثغرة معروفة، أو قالب أو إضافة «Nulled» منسوخة من مصدر غير رسمي، أو كلمة مرور ضعيفة أو مستخدمة في موقع آخر، أو موقع آخر مخترق على حساب الاستضافة نفسه، أو بيانات FTP مسروقة من جهاز مصاب.
معرفة نقطة الدخول أهم من التنظيف نفسه، لأنها ما يمنع تكرار الاختراق.
الخطوة 4: قرر بين الاستعادة والتنظيف
| الحالة | الأنسب |
|---|---|
| لديك نسخة احتياطية مؤكد أنها قبل تاريخ الاختراق، وفقدان التغييرات بعدها مقبول | الاستعادة، ثم تنفيذ الخطوات من 7 إلى 10 كاملة. |
| متجر به طلبات جديدة بعد تاريخ النسخة | صدّر الطلبات والعملاء الجدد أولًا، ثم قرر بين الاستعادة مع إعادة الإدخال أو التنظيف المباشر. |
| لا توجد نسخة نظيفة مؤكدة، أو تاريخ الاختراق غير معروف | التنظيف المباشر بالخطوات 5 و6. |
الاستعادة وحدها لا تكفي أبدًا. النسخة النظيفة تحتوي على الثغرة نفسها التي دخل منها المهاجم، لذلك يجب بعدها تغيير بيانات الدخول وإغلاق الثغرة. لإدارة النسخ والاستعادة راجع شرح UpdraftPlus.
الخطوة 5: نظّف الملفات
أعد تثبيت نواة ووردبريس من مصدر رسمي
استبدل مجلدي wp-admin وwp-includes وملفات الجذر الرسمية بنسخة جديدة من الإصدار نفسه من WordPress.org، مع الإبقاء على wp-config.php ومجلد wp-content. مع WP-CLI:
wp core download --force --skip-content --version=$(wp core version)
wp core verify-checksumsالأمر الثاني يجب أن ينتهي دون أي تحذير. إذا ظهرت ملفات إضافية في جذر الموقع لا تنتمي لووردبريس ولا تعرفها، فراجعها واحذفها.
أعد تثبيت الإضافات والقوالب بدل تنظيفها
محاولة تنظيف ملفات إضافة سطرًا بسطر مرهقة وغير مضمونة. الأسلم حذف كل إضافة وقالب وإعادة تنزيلها من مصدرها الرسمي: من WordPress.org للمجانية، ومن حسابك لدى المطور للمدفوعة. احذف الإضافات والقوالب غير المستخدمة نهائيًا، واحذف فورًا أي نسخة «Nulled». للإضافات المنشورة في WordPress.org يمكن استخدام:
wp plugin install plugin-slug --force
wp plugin verify-checksums --allنظّف مجلد wp-content
- احذف ملفات PHP الموجودة داخل
wp-content/uploadsبعد التأكد من أنها ليست ملفاتindex.phpفارغة. - راجع مجلد
wp-content/mu-pluginsواحذف أي ملف لا تعرف مصدره. - راجع ملفات Drop-in في جذر
wp-contentمثلadvanced-cache.phpوobject-cache.phpوdb.php، وتأكد من أنها تابعة لإضافة تستخدمها فعلًا. - ابحث عن ملفات
.htaccessداخل المجلدات الفرعية، فبعض الاختراقات تضعها لتنفيذ ملفات خبيثة أو لإعادة التوجيه.
راجع wp-config.php و.htaccess
افتح الملفين وقارنهما بالنسخة السليمة المعروفة لك. احذف أي سطر مشفر أو أي قاعدة تحويل لم تضعها. قبل تعديل wp-config.php راجع طريقة تعديل wp-config.php بأمان حتى لا يتوقف الموقع بسبب خطأ صغير.
الخطوة 6: نظّف قاعدة البيانات
خذ نسخة من قاعدة البيانات قبل أي حذف، ثم راجع:
- المستخدمون: احذف الحسابات المجهولة، وانقل محتواها إلى حساب سليم إذا طلب ووردبريس ذلك.
- إعدادات الموقع: تأكد من أن
siteurlوhomeفي جدول الخيارات تشيران إلى نطاقك. - المحتوى: احذف السكربتات والإطارات المحقونة داخل المقالات والصفحات والودجات، واحذف صفحات السبام التي أنشأها المهاجم.
- المهام المجدولة: راجع المهام بالأمر
wp cron event listواحذف أي مهمة لا تنتمي إلى ووردبريس أو إلى إضافة تستخدمها.
الخطوة 7: غيّر كل بيانات الدخول والمفاتيح
افترض أن كل بيانات الدخول المرتبطة بالموقع تسربت، وغيّرها كلها:
- كلمات مرور كل المستخدمين في ووردبريس، وخاصة المديرين والمحررين.
- كلمة مرور لوحة الاستضافة، وحسابات FTP وSFTP وSSH.
- كلمة مرور قاعدة البيانات، مع تحديثها في
wp-config.php. - كلمات مرور البريد الإلكتروني المرتبط بحساب المدير.
- كلمات مرور التطبيقات في ملفات المستخدمين، ومفاتيح API لبوابات الدفع وخدمات البريد وأي تكامل خارجي.
- مفاتيح الأمان في
wp-config.php: ولّد مفاتيح جديدة من مولّد المفاتيح الرسمي واستبدل بها القديمة، فيُسجَّل خروج كل الجلسات المفتوحة، ومنها جلسات المهاجم.
إذا فقدت الوصول إلى حساب المدير، فطرق استعادته موضحة في دليل إعادة تعيين كلمة مرور WordPress.
الخطوة 8: أغلق الثغرة التي دخل منها المهاجم
- حدّث ووردبريس وكل الإضافات والقوالب إلى أحدث إصدار.
- إذا كانت الثغرة في إضافة لا يوجد لها تحديث يعالجها، فاستبدلها بإضافة أخرى أو احذفها.
- فعّل المصادقة الثنائية لحسابات المديرين، وقلل الصلاحيات إلى الحد الأدنى اللازم لكل مستخدم.
- عطّل تعديل الملفات من لوحة التحكم بإضافة هذا السطر إلى
wp-config.php:define( 'DISALLOW_FILE_EDIT', true ); - أضف طبقة حماية خارجية مثل جدار حماية ووردبريس WAF، وفعّل الفحص الدوري عبر Wordfence أو أداة مماثلة.
الخطوة 9: أزل تحذيرات Google ونظّف نتائج البحث
- بعد التأكد من نظافة الموقع، افتح تقرير «مشكلات الأمان» في Google Search Console واختر طلب مراجعة، واشرح بإيجاز ما وجدته وما نفذته لإزالته ومنع تكراره.
- اجعل صفحات السبام التي أنشأها المهاجم ترجع خطأ 404 أو 410 بعد حذفها. لا تحظرها في ملف
robots.txt، لأن الحظر يمنع Google من زيارتها ومعرفة أنها حُذفت. - إذا كانت الصفحات المزعجة تضر بسمعة النشاط، استخدم أداة الإزالة في Search Console لإخفائها مؤقتًا إلى أن يعيد Google زحفها.
- أعد إرسال خريطة الموقع الصحيحة، واحذف أي خريطة أضافها المهاجم.
مدة المراجعة تختلف حسب نوع المشكلة، وقد تستغرق من أيام إلى عدة أسابيع. إذا رُفض الطلب فهذا يعني غالبًا أن Google ما زال يجد أثرًا للاختراق، فراجع الخطوات السابقة قبل طلب مراجعة جديدة.
الخطوة 10: راقب الموقع بعد التنظيف
الأسابيع الأولى بعد التنظيف هي الأهم، لأن الباب الخلفي المنسي يظهر فيها عادة. خلال هذه الفترة:
- كرر فحص الملفات وقاعدة البيانات أسبوعيًا، وراقب ظهور ملفات أو مستخدمين جدد.
- راجع تقرير مشكلات الأمان وتقرير الصفحات في Search Console.
- راجع سجلات الخادم بحثًا عن طلبات إلى الملفات التي حذفتها، فهي تكشف أن المهاجم يحاول العودة.
- اضبط نسخًا احتياطية دورية تُحفظ خارج الخادم، واختبر استعادتها.
هل بيانات العملاء معرضة للخطر؟
إذا كان الموقع متجرًا أو يجمع بيانات شخصية، فقيّم ما الذي ربما تسرب. في المتاجر التي تستخدم بوابة دفع تنقل العميل إلى صفحة الدفع الخاصة بها، لا تمر بيانات البطاقة عبر موقعك عادة، أما إذا كان نموذج البطاقة داخل صفحة موقعك فقد تكون البيانات معرضة. تواصل مع مزود الدفع، وراجع التزاماتك القانونية في إبلاغ العملاء وفق القوانين المطبقة على نشاطك.
متى تحتاج إلى متخصص؟
- عاد الاختراق بعد تنظيفه مرة أو أكثر.
- الموقع متجر يستقبل مدفوعات أو يحتفظ ببيانات عملاء.
- لا توجد نسخة احتياطية نظيفة، أو لا تملك وصولًا إلى الخادم عبر SSH أو لوحة الاستضافة.
- يوجد أكثر من موقع على حساب الاستضافة نفسه.
- Google يعرض تحذيرًا أمنيًا والزيارات تتراجع كل يوم.
في هذه الحالات يمكنك طلب خدمة تأمين مواقع ووردبريس. نبدأ بتقييم مدى الاختراق ونقطة الدخول، ثم نحدد نطاق التنظيف والتقوية قبل أي تعديل على الموقع.
أسئلة شائعة عن تنظيف موقع ووردبريس مخترق
كم يستغرق تنظيف موقع ووردبريس مخترق؟
يعتمد على حجم الموقع ونوع الاختراق وتوفر نسخة نظيفة ووصول كامل إلى الخادم. الحالة البسيطة مع نسخة نظيفة قد تُنجز في يوم، بينما الاختراق المتكرر أو المنتشر في عدة مواقع يحتاج إلى وقت أطول. أما إزالة تحذير Google فتعتمد على مدة المراجعة.
هل يكفي حذف الملفات المصابة؟
لا. حذف الملفات الظاهرة دون إعادة تثبيت النواة والإضافات، ودون تنظيف قاعدة البيانات، ودون تغيير بيانات الدخول وإغلاق الثغرة، يترك فرصة كبيرة لعودة الاختراق.
هل أنقل الموقع إلى استضافة جديدة؟
النقل وحده لا يزيل الاختراق، لأن الملفات المصابة تنتقل مع الموقع. نظّف الموقع أولًا، ثم انقله إذا كانت الاستضافة الحالية ضعيفة أمنيًا أو كان الحساب يضم مواقع أخرى مصابة.
هل يعود ترتيب موقعي في Google بعد التنظيف؟
في الغالب يتعافى الظهور تدريجيًا بعد إزالة التحذير وحذف صفحات السبام وإعادة زحف الموقع، لكن لا يمكن ضمان العودة إلى الترتيب نفسه أو تحديد مدة ثابتة لذلك.
هل إعادة بناء الموقع من الصفر أفضل من التنظيف؟
إعادة البناء خيار مناسب إذا كان الموقع صغيرًا ومحتواه قليل، أو كان الاختراق عميقًا ولا توجد نسخة نظيفة. أما للمواقع الكبيرة والمتاجر، فالتنظيف المنهجي مع إعادة تثبيت المكونات من مصادرها الرسمية يحقق النتيجة نفسها بتكلفة أقل.
بعد استقرار الموقع، طبّق إجراءات الوقاية الدائمة الموضحة في دليل حماية ووردبريس العملي حتى لا تتكرر التجربة.