Usuwanie wirusów WordPress — procedura i koszty [2026]

Zainfekowana strona WordPress daje objawy, których nie da się zignorować: przekierowania na obce strony, wyskakujące reklamy, spamowe podstrony w Google, ostrzeżenie „Ta witryna może cię zaatakować" albo zawieszenie konta przez hosting. W takich momentach liczy się szybka, uporządkowana reakcja: izolacja, zmiana haseł, skan, czyszczenie plików i bazy, utwardzenie strony i zgłoszenie do Google. Usuwanie wirusów WordPress kosztuje zwykle od 400 zł netto (proste infekcje) do 1 500–2 500 zł netto (rozbudowane, wieloetapowe zakażenia), a najdroższa bywa nie sama naprawa, lecz czas, w którym strona jest zablokowana lub wykluczona z wyników. Ten przewodnik opisuje pełną procedurę — i to, jak nie dopuścić do powtórki.

Najważniejsze: Objawy infekcji: przekierowania, spam SEO, wyskakujące reklamy, dziwne konta administratora, spowolnienie, ostrzeżenia Google i zawieszenia hostingu. Procedura: izolacja i backup → zmiana wszystkich haseł (hosting, WP, baza, FTP) → skan (Wordfence, malware scan hostingu) → czyszczenie plików (motyw, wtyczki, uploads) i bazy (wp_options, wp_posts) → usunięcie backdoorów → utwardzenie (2FA, uprawnienia, aktualizacje) → zgłoszenie do Google (Security Issues) → monitoring po naprawie. Koszt: od 400 zł netto, rozbudowane przypadki 1 500–2 500 zł netto.

Po czym poznać, że strona jest zainfekowana?

• Przekierowania — strona otwiera obce treści (często tylko dla użytkowników z Google lub na mobile).
• Spam SEO — w indeksie Google pojawiają się podstrony, których nie tworzyłeś (farmaceutyki, kasyna, linki).
• Wyskakujące reklamy i dziwne skrypty na stronie.
• Nowe konta administratora i zmiany, których nie robiłeś.
• Spowolnienie i przeciążenie serwera — malware często wysyła spam lub kopie kryptowalut.
• Ostrzeżenia — komunikat Google „Ta witryna może cię zaatakować", blacklista, maile od hostingu o zawieszeniu konta.

Jeden objaw to już sygnał — infekcje rzadko „siedzą cicho", zwykle rozprzestrzeniają się na kolejne pliki i bazy.

Procedura usuwania wirusów krok po kroku

1. Izolacja — jeśli to możliwe, przenieś stronę w tryb serwisowy lub ogranicz dostęp; wstrzymaj kampanie kierujące ruch na zainfekowane strony.
2. Backup dowodowy i roboczy — kopia zainfekowanej wersji (do analizy) i kopia „ostatniego zdrowego" stanu, jeśli ją masz.
3. Zmiana wszystkich haseł — hosting/panel, WordPress (wszystkie konta), baza danych, FTP/SFTP, klucze API. Od tego kroku zaczyna każdy profesjonalista — stare hasła to otwarte drzwi.
4. Skan — wtyczka bezpieczeństwa (np. Wordfence, Sucuri) plus skan po stronie hostingu (wiele hostingów oferuje detekcję malware).
5. Czyszczenie plików — rdzeń WordPressa (nadpisywany czystą wersją), motyw i wtyczki (porównanie z oryginałami), katalog uploads (web-shelle ukryte w „obrazkach"), pliki .htaccess i index.php.
6. Czyszczenie bazy — wp_options (wstrzyknięte skrypty i przekierowania), wp_posts (spamowe treści), wp_users (nieznane konta), pozostałości po backdoorach.
7. Usunięcie backdoorów — ukryte konta i pliki pozwalające wrócić; bez tego infekcja wraca po tygodniu.
8. Utwardzenie — aktualizacje wszystkiego, 2FA dla administratorów, ograniczenie prób logowania, poprawne uprawnienia plików, wyłączenie edycji plików w panelu.
9. Zgłoszenie do Google — Search Console > Problemy z bezpieczeństwem: po naprawie złóż prośbę o ponowne rozpatrzenie; usuń spamowe URL-e.
10. Monitoring — przez kilka tygodni obserwuj logi, skany i indeks; powrót infekcji oznacza, że coś przegapiono.

Dlaczego „sama wtyczka antywirusowa" nie wystarczy?

Wtyczki bezpieczeństwa są pomocne w wykrywaniu, ale infekcję trzeba usunąć z plików i bazy — a to praca manualna: porównanie plików z oryginałami, analiza wpisów w bazie, szukanie backdoorów. Automatyczne „czyszczenie jednym kliknięciem" często usuwa objawy, zostawiając mechanizm powrotu. Dlatego odwirusowanie to projekt, nie instalacja wtyczki.

Ile kosztuje usuwanie wirusów WordPress?

Koszt infekcji to nie tylko naprawa: przekierowania psują reputację, Google obniża pozycje, klienci tracą zaufanie, a kampanie płatne kierują ruch na zainfekowane strony (i przepalają budżet).

Jak nie dopuścić do powtórki?

• Aktualizacje — regularne, z poprawkami bezpieczeństwa niezwłocznie (aktualizacja WordPress).
• 2FA i silne hasła — dla wszystkich kont administracyjnych; osobne konta dla wykonawców.
• Minimum wtyczek — z aktualizowanych źródeł; porzucone wtyczki to najczęstsza dziura.
• Backupy — z testem odtworzenia, przechowywane poza serwerem.
• Monitoring — wykrywanie infekcji w godzinach, nie tygodniach (administracja WordPress).
• Opieka — pakiety z skanami i reakcją na incydenty (opieka nad stroną WordPress).

W praktyce większość „odwirusowań" kończy się wdrożeniem stałej opieki — bo powód infekcji (brak aktualizacji, słabe hasła) bez tego wraca.

Najczęściej zadawane pytania

Ile kosztuje usunięcie wirusów ze strony WordPress?

• Proste infekcje: od 400 zł netto. Standardowe (czyszczenie plików i bazy z utwardzeniem): 600–1 200 zł netto. Rozbudowane przypadki z backdoorami i spamem SEO: 1 500–2 500 zł netto. Wycena zawsze po wstępnej analizie — zakres infekcji bywa bardzo różny.

Czy sam usunę wirusa z WordPressa?

Proste przypadki (zainfekowany plik wtyczki, przekierowanie w .htaccess) są w zasięgu osoby technicznej. Infekcje z backdoorami, spamem w bazie i wieloma kontami wymagają doświadczenia — niepełne czyszczenie kończy się powrotem malware. Jeśli nie masz pewności, zleć analizę.

Jak długo strona jest zablokowana po infekcji?

Naprawa zwykle trwa od kilku godzin do 2–3 dni (zależnie od skali). Do tego dochodzi czas na ponowne rozpatrzenie w Google po zdjęciu ostrzeżenia — od kilku dni do kilku tygodni. Dlatego szybka reakcja ma realną wartość.

Co zrobić, gdy Google oznaczyło stronę jako „może cię zaatakować"?

Po usunięciu infekcji i utwardzeniu strony: w Search Console > Problemy z bezpieczeństwem zgłoś prośbę o ponowne rozpatrzenie. Upewnij się, że wszystkie zainfekowane URL-e i przekierowania zostały usunięte — powtórne zgłoszenie przy niepełnej naprawie wydłuża proces.

Czy hosting usunie wirusy za mnie?

Niektóre hostingi oferują skany i pomoc, ale odpowiedzialność za czystość strony leży po stronie właściciela. Hosting może zawiesić konto, by chronić serwer — co dodatkowo motywuje do szybkiej reakcji i prewencji.

Czy po odwirusowaniu potrzebuję nowej strony?

Zwykle nie — jeśli infekcja została w pełni usunięta i strona utwardzona. Nowa strona ma sens, gdy zakażenie było wielokrotne lub system jest tak przestarzały, że nie da się go bezpiecznie utrzymać. Decyzję podejmuje się po analizie, nie „na wszelki wypadek".

Źródła i narzędzia

• WordPress News — bezpieczeństwo
• Google Search Console — Problemy z bezpieczeństwem
• OWASP — bezpieczeństwo aplikacji webowych
• Cyber_Folks — jak usunąć wirusy ze strony WordPress
• Wordfence — dokumentacja skanera

👉 Twoja strona została zainfekowana? Opisz objawy przez formularz kontaktowy lub napisz na kontakt@informatix.com.pl — analiza, czyszczenie, utwardzenie i monitoring po naprawie. Zobacz też tworzenie stron WordPress w mojej ofercie.

👉 Chcesz zapobiegać zamiast naprawiać? Sprawdź artykuły opieka nad stroną WordPress, administracja WordPress i aktualizacja WordPress.

📖 Zobacz również: WordPress developer, tworzenie stron WordPress oraz wycena aplikacji webowej — ile kosztuje w 2026?.