วิธีเช็กไฟล์แปลกปลอมใน WordPress เบื้องต้น

หนึ่งในสัญญาณเตือนแรกที่บอกว่าเว็บ WordPress อาจถูกแฮกหรือติดมัลแวร์ คือการพบ ไฟล์แปลกปลอม ที่ไม่ได้สร้างขึ้นเอง ซึ่งหลายครั้งเจ้าของเว็บไม่รู้ตัวจนกว่าโฮสต์จะแจ้ง หรือผู้เยี่ยมชมสังเกตเห็นพฤติกรรมผิดปกติ การตรวจเช็กไฟล์เบื้องต้นด้วยตัวเองจึงเป็นทักษะที่ทุกคนที่ดูแลเว็บ WordPress ควรมี เพื่อจับปัญหาได้ตั้งแต่เนิ่น ๆ ก่อนที่ความเสียหายจะลุกลาม หากยังไม่แน่ใจว่าเว็บของคุณมีอาการติดมัลแวร์หรือเปล่า ลองอ่านบทความนั้นควบคู่กันด้วย

ไฟล์แปลกปลอมคืออะไร และทำไมถึงอันตราย

ไฟล์แปลกปลอม (Suspicious Files) หมายถึงไฟล์ที่ไม่ได้มาจาก WordPress core, ธีม, หรือปลั๊กอินที่คุณติดตั้งเอง แต่ปรากฏอยู่ในโฟลเดอร์ของเว็บโดยไม่ทราบที่มา ไฟล์เหล่านี้มักถูกแฮกเกอร์ฝากไว้เพื่อใช้เป็น backdoor (ประตูลับ), web shell (สคริปต์ควบคุมเซิร์ฟเวอร์จากระยะไกล) หรือโค้ดส่ง spam/redirect ผู้เยี่ยมชมไปเว็บไม่พึงประสงค์

ไฟล์อันตรายเหล่านี้มักซ่อนตัวในรูปแบบต่าง ๆ เช่น

• ชื่อไฟล์ที่ดูเหมือนไฟล์ระบบ เช่น wp-loginn.php, wp-config.bak, index2.php
• ไฟล์ .php ที่แทรกอยู่ในโฟลเดอร์รูปภาพ /wp-content/uploads/
• ไฟล์ที่มีนามสกุลซ้อน เช่น image.jpg.php
• ไฟล์ชื่อสุ่ม เช่น a3f9k2.php หรือสตริงยาว ๆ ที่ไม่มีความหมาย

วิธีเช็กไฟล์แปลกปลอมผ่าน File Manager (cPanel)

วิธีที่เข้าถึงได้ง่ายที่สุดสำหรับคนที่ไม่คุ้นเคยกับ SSH คือใช้ File Manager ใน cPanel

• เข้า cPanel → File Manager → นำทางไปยัง public_html (หรือโฟลเดอร์ที่ติดตั้ง WordPress)
• คลิกที่หัวคอลัมน์ Last Modified เพื่อเรียงไฟล์จากใหม่ไปเก่า ไฟล์ที่ถูกแก้ไขหรือสร้างขึ้นในช่วงเวลาที่คุณไม่ได้แตะเว็บคือไฟล์ที่น่าสงสัย
• เข้าไปตรวจโฟลเดอร์ /wp-content/uploads/ แล้วค้นหาไฟล์ .php หรือ .js ที่ไม่ควรอยู่ในโฟลเดอร์รูปภาพ
• ใช้ฟีเจอร์ Search ของ File Manager ค้นหาไฟล์ *.php ทั้งหมดในโฟลเดอร์ uploads — ถ้าพบ ให้ถือว่าน่าสงสัยทันที

เมื่อพบไฟล์ที่ต้องการตรวจ ให้คลิก View หรือ Edit เพื่อดูเนื้อหา ถ้าเห็นโค้ดที่ถูก encode ด้วย base64_decode(), eval(), gzinflate(), หรือ str_rot13() ให้สันนิษฐานว่าเป็นโค้ดอันตราย

ใช้ Plugin ตรวจสอบไฟล์เบื้องต้น

หากไม่สะดวกใช้ File Manager โดยตรง ปลั๊กอินต่อไปนี้ช่วยได้

• Wordfence Security — มีฟีเจอร์ File Change Detection เปรียบเทียบไฟล์ core WordPress กับไฟล์บน repository อย่างเป็นทางการ ถ้าไฟล์ใดถูกแก้ไขหรือเป็นไฟล์แปลกปลอมจะแจ้งเตือนทันที
• Sucuri Security — สแกนไฟล์และแจ้ง integrity check พร้อมระบุไฟล์ที่ผิดปกติในรายงาน
• WP Cerber Security — มี file monitoring และ quarantine ไฟล์น่าสงสัยได้

ควรใช้ปลั๊กอินเพื่อตรวจสอบ ร่วมกับ การตรวจด้วยตา ไม่ใช่แทนกัน เพราะมัลแวร์บางตัวหลบเลี่ยงการสแกนโดยอัตโนมัติได้

ตรวจสอบไฟล์ Core WordPress ว่าถูกแก้ไขหรือไม่

WordPress core มีโครงสร้างไฟล์ที่แน่นอน ไฟล์ใดก็ตามในโฟลเดอร์ /wp-admin/ หรือ /wp-includes/ ที่ไม่ได้มาจาก WordPress จริง ๆ คือสัญญาณอันตราย

• ตรวจสอบไฟล์ wp-config.php ว่ามีโค้ดแปลก ๆ แทรกอยู่หรือไม่ โดยเฉพาะบรรทัดแรกก่อน <?php
• ตรวจไฟล์ .htaccess ในโฟลเดอร์ root (WordPress.org ระบุว่าเป็นไฟล์ที่ถูกแก้บ่อยในเว็บที่ติดมัลแวร์ไม่ว่าแบบไหน) — มัลแวร์ประเภท redirect มักซ่อนอยู่ที่นี่ ดูปัญหาเว็บ WordPress เด้งไปเว็บพนันเป็นตัวอย่าง
• เปรียบเทียบโฟลเดอร์ /wp-includes/ กับ WordPress เวอร์ชันเดียวกันที่ดาวน์โหลดใหม่จาก wordpress.org ถ้ามีไฟล์พิเศษที่ไม่อยู่ในชุดใหม่ ไฟล์นั้นคือไฟล์แปลกปลอม

ฟังก์ชันที่มัลแวร์ใช้บ่อย และคำสั่งค้นหา

ถ้าเข้า SSH ได้ คำสั่งชุดนี้ช่วยหาไฟล์น่าสงสัยได้เร็วกว่าเปิดดูทีละไฟล์มาก ผลลัพธ์อาจมีไฟล์ปกติปนอยู่ เพราะ Plugin ดีๆ บางตัวก็ใช้ฟังก์ชันเหล่านี้ ต้องเปิดดูก่อนลบทุกครั้ง

# 1. ไฟล์ PHP ในโฟลเดอร์ uploads (ปกติไม่ควรมีเลย)
find wp-content/uploads -name "*.php"

# 2. ไฟล์ PHP ที่ถูกแก้ภายใน 7 วันล่าสุด
find . -name "*.php" -mtime -7

# 3. ไฟล์ที่ใช้ฟังก์ชันที่มัลแวร์ชอบใช้
grep -rlE "eval\(|base64_decode\(|gzinflate\(|str_rot13\(" wp-content/

# 4. เทียบไฟล์ WordPress Core และ Plugin กับต้นฉบับ (ต้องมี WP-CLI)
wp core verify-checksums
wp plugin verify-checksums --all

<?php $O0O0='\x62\x61\x73\x65\x36\x34…';$O00O=$O0O0('aWYoaXNzZXQo…ตัดออก…');@eval($O00O);?>

เมื่อพบไฟล์น่าสงสัย ควรทำอะไรต่อ

การพบไฟล์แปลกปลอมไม่ได้หมายความว่าต้องลบทันทีโดยไม่ดูอะไร ให้ทำตามขั้นตอนนี้

• ทำ backup ก่อน — ก่อนแตะไฟล์ใด ๆ ให้สำรองข้อมูลทั้งหมดไว้ก่อน
• ดูเนื้อหาไฟล์ — ถ้าพบ eval(base64_decode(...)) หรือโค้ด obfuscate ให้สันนิษฐานว่าอันตรายและลบทิ้ง
• ตรวจว่าไฟล์เดิมถูกแก้ไขหรือเปล่า — ถ้าเป็นไฟล์ core เช่น wp-login.php ให้ overwrite ด้วยไฟล์ใหม่สะอาดจาก wordpress.org โดยใช้เวอร์ชันเดียวกับที่เว็บใช้อยู่ เพราะWordPress.org เตือนว่าถ้าใช้คนละเวอร์ชันเว็บมีโอกาสพัง
• เปลี่ยนรหัสผ่านทันที — รหัส Admin, Database, FTP, Hosting ทั้งหมด
• ตรวจ user accounts — ดูว่ามี admin account แปลก ๆ ถูกสร้างขึ้นหรือไม่

หากพบไฟล์จำนวนมากหรือไม่แน่ใจจะจัดการอย่างไร การขอความช่วยเหลือจากบริการล้างไวรัส WordPressมืออาชีพอาจคุ้มค่ากว่าการแก้เองแบบลองผิดลองถูก โดยเฉพาะถ้าเว็บนั้นมีความสำคัญต่อธุรกิจ อ่านเพิ่มเติมเรื่องสิ่งที่ต้องทำเมื่อเว็บถูกแฮกได้ที่นี่

วิธีป้องกันไฟล์แปลกปลอมในระยะยาว

• ตั้งค่าให้โฮสต์ บล็อก PHP execution ใน /uploads/ โดยสร้างไฟล์ .htaccess ในโฟลเดอร์ uploads ที่มี directive php_flag engine off (คำสั่ง php_flag ใน .htaccess ใช้ได้เมื่อ PHP รันเป็นโมดูลของ Apache ตามคู่มือ PHP ถ้าโฮสต์ใช้ PHP-FPM ให้ถามโฮสต์เรื่องตั้งค่าระดับเซิร์ฟเวอร์)
• ใช้ปลั๊กอิน security ที่มี file integrity monitoring แจ้งเตือนทันทีเมื่อมีไฟล์ใหม่ถูกสร้าง
• อัปเดต WordPress core, ธีม, และปลั๊กอินสม่ำเสมอ — ช่องโหว่ที่ไม่ได้ patch คือประตูเข้าหลักของแฮกเกอร์ เรียนรู้เพิ่มเติมว่าทำไม WordPress ถึงติดไวรัสบ่อย
• จำกัด permission ของไฟล์ให้เหมาะสม: 755 สำหรับโฟลเดอร์ 644 สำหรับไฟล์ทั่วไป และ 400 หรือ 440 สำหรับ wp-config.php (ตามคู่มือ Hardening WordPress ของ WordPress.org)
• ทำ backup อัตโนมัติทุกวัน เพื่อให้สามารถ restore กลับมาได้หากเกิดปัญหา

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. WordPress.org. (ม.ป.ป.). Hardening WordPress. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/hardening/
2. WordPress.org. (2026). FAQ: My site was hacked. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/documentation/article/faq-my-site-was-hacked/
3. WP-CLI. (ม.ป.ป.). wp core verify-checksums. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/cli/commands/core/verify-checksums/
4. WP-CLI. (ม.ป.ป.). wp plugin verify-checksums. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/cli/commands/plugin/verify-checksums/
5. MITRE. (ม.ป.ป.). Server Software Component: Web Shell (T1505.003). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://attack.mitre.org/techniques/T1505/003/
6. MITRE. (ม.ป.ป.). CWE-434: Unrestricted Upload of File with Dangerous Type. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://cwe.mitre.org/data/definitions/434.html
7. PHP Group. (ม.ป.ป.). How to change configuration settings (PHP Manual). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://www.php.net/manual/en/configuration.changes.php
8. WordPress.org. (ม.ป.ป.). Wordfence Security (WordPress.org plugin directory). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/wordfence/
9. WordPress.org. (ม.ป.ป.). Sucuri Security: Auditing, Malware Scanner and Hardening (WordPress.org plugin directory). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/sucuri-scanner/