После взлома WordPress важно не «чинить», а сначала остановить повторный доступ

Сначала изолируйте сайт: снимите его с публичного доступа, переведите в режим обслуживания и смените пароли у хостинга, FTP/SFTP, базы данных, админов WordPress и почты, привязанной к сайту. Если есть доступ к серверу, проверьте активные сессии и отключите лишние ключи и токены.

Дальше ищите не только вредоносный файл, но и точку входа: слабый пароль, старый плагин, уязвимую тему, заражённый каталог загрузок, подмену в wp-config.php или скрытые задания в cron. Частая ошибка — удалить один PHP-файл и считать инцидент закрытым. Если не убрать причину, сайт снова скомпрометируют.

После очистки сделайте контрольную ревизию: сравните ядро WordPress с оригинальными файлами, проверьте пользователей с правами администратора, новые плагины, неизвестные редиректы, записи в .htaccess и подозрительные внешние подключения. Отдельно просмотрите логи входов и запросов: они часто показывают, откуда началась атака.

Когда доступ восстановлен, настройте защиту заново: ограничьте число попыток входа, включите двухфакторную аутентификацию, уберите лишние темы и плагины, закройте права на запись там, где они не нужны, и сделайте резервные копии в независимом месте. Восстановление после взлома — это не уборка следов, а перестройка слабого места.