В WordPress появился неизвестный администратор

Шаг 1. Найдите всех администраторов, включая скрытых

Вредоносный код часто прячет созданных им пользователей из списка в админке — через фильтр запроса пользователей. Поэтому доверять только странице «Пользователи» нельзя. Проверьте базу напрямую через phpMyAdmin:

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities' AND m.meta_value LIKE '%administrator%'
ORDER BY u.user_registered DESC;

Если префикс таблиц у вас не wp_, замените его — он указан в wp-config.php. Или через WP-CLI: wp user list --role=administrator.

Сравните количество с тем, что показывает админка. Если в базе администраторов больше — на сайте есть код, который их скрывает.

Шаг 2. Удалите чужих пользователей

Удалите незнакомых администраторов через админку или WP-CLI, передав их записи своему аккаунту: wp user delete 183 --reassign=1. Затем проверьте записи и страницы, созданные этими пользователями, — часто это спам или страницы «hacked by».

Шаг 3. Закройте все способы входа

1. Смените пароли всех настоящих администраторов.
2. Удалите пароли приложений. Это отдельные токены для REST API, которые не отзываются при смене основного пароля. Они находятся в профиле пользователя внизу страницы, а в базе — в wp_usermeta с ключом _application_passwords.
3. Обновите секретные ключи в wp-config.php — это завершит все активные сессии.
4. Смените пароль базы данных, если есть подозрение, что wp-config.php был прочитан.

Шаг 4. Если администраторы появляются снова

Значит, у злоумышленника остался канал, который не зависит от паролей. Варианты по частоте:

Веб-шелл или бэкдор в файлах

Скрипт, который создаёт пользователя по запросу. Ищите по инструкции из статьи «Веб-шелл на сайте», а также код с функциями wp_create_user, wp_insert_user и set_role('administrator') в неожиданных местах:

grep -rlE "wp_(create|insert)_user|set_role\(\s*['\"]administrator" --include=*.php wp-content

Уязвимость в плагине

Многие уязвимости плагинов позволяют без авторизации изменить настройки сайта — например, включить регистрацию и назначить роль «Администратор» по умолчанию. Проверьте «Настройки» → «Общие»: поле «Роль нового пользователя» и галочку «Любой может зарегистрироваться».

REST API

Посмотрите журнал доступа на POST-запросы к /wp-json/ и ?rest_route= от незнакомых IP-адресов.

Шаг 5. Проверьте, что успели сделать

• новые плагины и темы, особенно в wp-content/mu-plugins;
• изменения в файлах темы, прежде всего functions.php;
• изменённые настройки: адрес сайта, почта администратора, главная страница;
• новые записи, страницы и пункты меню;
• вставки в контент страниц.

Если что-то нашлось — проведите полную чистку по инструкции «Вирус на сайте WordPress».

Как узнавать о новых администраторах сразу

FYZI Shield проверяет список администраторов напрямую в базе данных, поэтому видит и скрытых пользователей. Если появляется новый администратор, вы получаете сообщение в Telegram в течение нескольких минут, а не через неделю.

Частые вопросы