Website WordPress bị hack cần được cô lập sớm. Nếu xuất hiện admin lạ và website không truy cập được, hãy nhờ kỹ thuật giữ bản sao, nhật ký và thu hồi quyền truy cập trái phép.
Xóa admin lạ hoặc đổi mật khẩu có thể chưa đủ. Nếu đường xâm nhập vẫn còn, website có thể bị hack lại và tiếp tục gián đoạn việc nhận đơn hàng hoặc liên hệ.
Bài viết hướng dẫn bạn ghi nhận dấu hiệu, chuẩn bị thông tin cho kỹ thuật và theo dõi quá trình khôi phục. Bạn sẽ biết cần kiểm tra gì trước khi nghiệm thu website.
Có admin lạ: đã chắc website bị hack chưa?
Trước hết, hãy hỏi chủ website và người đang quản trị xem ai đã tạo các tài khoản đó. Nếu không có ai cấp phép, đây là dấu hiệu xâm nhập mà WordPress.org khuyến cáo cần kiểm tra.
Dù vậy, danh sách admin chưa cho biết kẻ tấn công vào bằng cách nào. Lỗi không truy cập được cũng cần kiểm tra riêng, vì website có thể đồng thời gặp lỗi ứng dụng, mất kết nối hoặc bị hosting tạm khóa.
| Hiện tượng | Việc cần xác minh |
|---|---|
| Admin có tên hoặc email không rõ nguồn gốc | Người tạo, quyền được cấp, thời điểm phát hiện và thay đổi liên quan. |
| Trang trắng, lỗi 500, thông báo lỗi nghiêm trọng | Nhật ký PHP, tệp bị sửa, plugin/theme và tài nguyên máy chủ. |
| Lỗi 403 hoặc thông báo hosting bị khóa | Quy tắc chặn, lý do khóa và yêu cầu của nhà cung cấp. |
| Lỗi DNS, SSL hoặc kết nối | Tên miền, chứng chỉ, CDN và máy chủ gốc. |
Không nên quy ngay cho một plugin hay lỗ hổng cụ thể khi chưa có bằng chứng. Admin lạ cũng chưa đủ để kết luận dữ liệu khách hàng đã bị lấy đi.
Chủ website cần làm gì ngay?
- Liên hệ người quản trị và hosting, yêu cầu phối hợp hạn chế truy cập, giữ log và bản sao hiện trạng trước khi sửa.
- Ghi thời điểm phát hiện kèm múi giờ. Chụp lỗi truy cập và danh sách admin lạ nếu còn xem được; không cần cố đăng nhập nhiều lần.
- Tạm dừng quảng cáo dẫn vào trang lỗi, thông báo kênh liên hệ thay thế cho khách.
- Dùng thiết bị tin cậy để khôi phục tài khoản và trao đổi quyền truy cập qua kênh riêng.
Đừng xóa hàng loạt tệp, cài thêm nhiều plugin quét hoặc khôi phục đè ngay. Việc sửa vội có thể làm mất đơn hàng mới và dấu vết cần cho điều tra.
Gửi gì cho đội kỹ thuật để bắt đầu?
Chuẩn bị tên miền, ảnh lỗi, thời điểm website hoạt động bình thường gần nhất và các thay đổi gần đây. Gửi thêm thông tin nhà cung cấp hosting, tình trạng backup và quyền truy cập còn giữ được.
Nếu đã xóa tài khoản, đổi mật khẩu hay khôi phục dữ liệu, hãy ghi rõ đã làm gì và lúc nào. Những thông tin này giúp kỹ thuật tránh sửa chồng lên công việc trước đó.
Quy trình xử lý website WordPress bị hack
1. Cô lập website, lưu bản sao và nhật ký
Kỹ thuật viên cần hạn chế truy cập ở tầng hosting, máy chủ hoặc proxy, đồng thời giữ đường quản trị an toàn. Trang bảo trì do plugin tạo ra chưa chắc đã chặn được truy cập trực tiếp tới tệp độc hại.
Lưu tệp, cơ sở dữ liệu, cấu hình và log liên quan trước khi làm sạch, nếu điều kiện cho phép. Đánh dấu bản sao này là nghi nhiễm, bảo vệ quyền truy cập và lưu riêng khỏi bản dùng để phục hồi.
Nếu dữ liệu vẫn đang bị sửa hoặc website đang phát tán mã độc, ưu tiên chặn hoạt động đó ngay. Ghi lại từng thao tác để còn đối chiếu về sau.
2. Thu hồi quyền truy cập trái phép
Sau khi giữ thông tin phục vụ điều tra, vô hiệu hóa truy cập của tài khoản trái phép. Khi gỡ tài khoản, cần kiểm tra nội dung đứng tên tài khoản để tránh xóa nhầm bài viết hoặc dữ liệu hợp lệ.
Kiểm tra cả tài khoản quen thuộc: quyền và email khôi phục có thể đã bị đổi. Với WordPress Multisite, rà soát thêm quyền quản trị toàn mạng.
Rà soát Application Passwords, tức mật khẩu riêng cho ứng dụng kết nối qua API. Thu hồi mục không được phép hoặc nghi lộ; các tích hợp hợp lệ sẽ cần được kết nối lại bằng thông tin mới.
3. Tìm đường xâm nhập và nơi mã độc còn tồn tại
Đối chiếu log truy cập, log lỗi và lịch sử thay đổi để tìm thời điểm bất thường. Kiểm tra plugin/theme có lỗ hổng, thông tin đăng nhập bị lộ và mã tùy chỉnh; mỗi hướng cần bằng chứng trước khi kết luận.
- So sánh mã nguồn WordPress, plugin và theme với bản tin cậy.
- Rà thư mục uploads, mu-plugins, tệp tự nạp và cấu hình chuyển hướng.
- Kiểm tra tác vụ định kỳ trong WordPress lẫn trên máy chủ.
- Kiểm tra quyền người dùng, cấu hình, bài viết và mã chèn trong cơ sở dữ liệu.
- Rà website khác hoặc bản WordPress cũ trong cùng tài khoản hosting.
Quét bằng công cụ là một phần của việc kiểm tra. Kết quả không phát hiện mã độc chưa đủ để xác nhận hệ thống đã sạch.
4. Làm sạch, vá lỗi hoặc dựng lại môi trường
Nếu có backup được xác minh là sạch trước lúc xâm nhập, có thể dùng để phục hồi. Trước đó, cần xác định cách giữ lại đơn hàng, biểu mẫu và nội dung hợp lệ phát sinh sau mốc backup.
Nếu không có bản sạch, thay thành phần bị sửa bằng gói từ WordPress.org hoặc nhà phát triển, rồi kiểm tra dữ liệu và mã tùy chỉnh. Chép đè tệp chuẩn không tự xóa tệp độc hại được thêm vào.
Vá hoặc thay thế thành phần là đường xâm nhập trước khi mở lại. Nếu không còn tin cậy máy chủ, cân nhắc dựng môi trường sạch rồi chuyển dữ liệu đã kiểm tra sang đó.
5. Đổi thông tin xác thực và xác minh hoạt động
Từ thiết bị tin cậy, thay mật khẩu và khóa truy cập bị ảnh hưởng: WordPress, hosting, SFTP/SSH, cơ sở dữ liệu, email khôi phục và API key theo phạm vi sự cố. Cập nhật cấu hình tương ứng để website và tích hợp tiếp tục hoạt động.
Thay khóa bảo mật/salts của WordPress để vô hiệu hóa cookie đăng nhập cũ. Nếu đã đổi mật khẩu khẩn cấp khi hệ thống còn nghi nhiễm, cần thay lại sau khi làm sạch.
Thử trang chủ, trang con, đăng nhập, biểu mẫu và đặt hàng nếu có. Sau khi mở lại, tiếp tục theo dõi log, tài khoản mới và thay đổi tệp để phát hiện dấu hiệu quay lại.
Kiểm tra mã nguồn bằng WP-CLI
Kỹ thuật viên có thể dùng lệnh đối chiếu checksum của WordPress trên bản sao đã cô lập. Dùng WP-CLI tin cậy, chạy từ đúng thư mục website và đối chiếu đúng phiên bản/ngôn ngữ.
wp core verify-checksums --include-rootLệnh này kiểm tra core mà không nạp WordPress. Kết quả khớp checksum vẫn chưa kiểm tra hết cơ sở dữ liệu, uploads, plugin và theme.
Với plugin trên WordPress.org, có thể đối chiếu bằng lệnh dưới đây. Plugin thương mại hoặc tùy chỉnh cần so với bản gốc của nhà phát triển; thiếu checksum không có nghĩa là có mã độc.
wp plugin verify-checksums --allCác lệnh WP-CLI khác có thể nạp mã của website. Tùy chọn --skip-plugins vẫn có thể nạp mu-plugins, nên kỹ thuật viên cần kiểm tra môi trường trước khi chạy.
Khi nào có thể nghiệm thu việc khôi phục?
Đừng chỉ kiểm tra trang chủ đã mở được hay chưa. Hãy yêu cầu đội xử lý bàn giao kết quả theo các mục sau:
- Các tài khoản và đường truy cập trái phép đã xử lý; quyền còn lại đã được xác nhận.
- Những vị trí đã làm sạch, thành phần đã vá hoặc thay thế.
- Kết quả thử các chức năng kinh doanh: nhận liên hệ, đặt hàng, thanh toán hoặc gửi email nếu có.
- Bản backup sạch sau phục hồi, cách theo dõi và đầu mối tiếp nhận khi có bất thường.
- Nguyên nhân đã xác minh và các điểm chưa đủ bằng chứng để kết luận.
Nếu website từng bị cảnh báo nguy hiểm hoặc chèn trang spam, cần xử lý các URL bị ảnh hưởng và kiểm tra cảnh báo trong Google Search Console. Việc website hoạt động trở lại không tự động xóa mọi cảnh báo hay phục hồi thứ hạng.
Làm gì để giảm nguy cơ bị hack lại?
Phân công người chịu trách nhiệm cập nhật WordPress, plugin và theme; gỡ thành phần không dùng. Bật xác thực hai bước khi được hỗ trợ, cấp quyền theo công việc và thu hồi quyền khi bàn giao.
Lưu backup ngoài môi trường website và thử phục hồi định kỳ. Tường lửa ứng dụng web (WAF) hỗ trợ chặn yêu cầu nguy hiểm, nhưng không thay thế việc vá lỗi hay cập nhật hệ điều hành máy chủ khi xuất hiện các sự cố nghiêm trọng như lỗ hổng CVE-2026-98432 trên Ubuntu.
Khi chọn nơi vận hành, tham khảo những yếu tố cần lưu ý khi chọn hosting, nhất là hỗ trợ sự cố và phục hồi dữ liệu. Nếu mức hiển thị tìm kiếm giảm sau sự cố, xem thêm bài vì sao website bị giảm thứ hạng để kiểm tra các nguyên nhân khác.
Câu hỏi thường gặp
Tại sao xóa admin lạ rồi tài khoản khác lại xuất hiện?
Có thể còn mã tạo lại tài khoản, tác vụ tự chạy hoặc đường truy cập chưa bị thu hồi. Cần kiểm tra nơi duy trì truy cập và nguyên nhân xâm nhập, thay vì tiếp tục xóa từng tài khoản.
Không vào được wp-admin thì có xử lý được không?
Có thể xử lý qua hosting, SFTP/SSH và cơ sở dữ liệu bằng quyền hợp lệ. Nhà cung cấp hosting có thể hỗ trợ lấy lại đường quản trị và cung cấp log còn lưu.
Có backup thì chỉ cần khôi phục là xong?
Backup có thể đã nhiễm hoặc vẫn chứa lỗ hổng cũ. Cần kiểm tra bản phục hồi, vá đường xâm nhập và bảo toàn dữ liệu mới trước khi đưa lên hoạt động.
Có admin lạ có nghĩa dữ liệu khách hàng đã bị lộ?
Chưa thể kết luận. Cần kiểm tra quyền bị chiếm, dữ liệu có thể tiếp cận và dấu vết truy cập; thiếu log cũng không chứng minh dữ liệu an toàn.
Bao lâu thì website hoạt động trở lại?
Thời gian phụ thuộc phạm vi nhiễm, chất lượng backup và quyền truy cập còn giữ được. Đội kỹ thuật cần kiểm tra ban đầu rồi mới ước tính thời gian và thống nhất điều kiện bàn giao.
Kết luận
Với WordPress có admin trái phép và mất truy cập, hãy cô lập sớm, giữ bằng chứng và kiểm tra cả mã nguồn lẫn quyền truy cập. Chỉ mở lại sau khi đã khắc phục các vấn đề tìm thấy và thử các chức năng cần dùng.
TitanWeb có dịch vụ xử lý mã độc website cho nhu cầu kiểm tra, khắc phục sự cố và chăm sóc website để tiếp tục hỗ trợ vận hành theo phạm vi thống nhất. Liên hệ hotline/Zalo 0966.000.061 hoặc gửi yêu cầu tại trang liên hệ.