WordPress เป็น CMS ที่ได้รับความนิยมสูงที่สุดในโลก ครอบครองตลาดเว็บไซต์กว่า 40% จึงไม่แปลกที่แฮกเกอร์มุ่งเป้าโจมตีเป็นพิเศษ แต่สาเหตุที่เว็บ WordPress ติดไวรัสบ่อยกว่าแพลตฟอร์มอื่นนั้นมาจากปัจจัยเฉพาะตัวหลายอย่าง ซึ่งส่วนใหญ่เกิดจากพฤติกรรมการดูแลเว็บมากกว่าความอ่อนแอของตัวซอฟต์แวร์เอง ทำความเข้าใจสาเหตุเหล่านี้ได้เลย เพื่อปิดช่องโหว่ก่อนที่ปัญหาจะเกิดขึ้น
สาเหตุหลักที่ทำให้ WordPress ติดไวรัสบ่อย
เว็บ WordPress ติดไวรัสได้จากหลายช่องทาง และสาเหตุส่วนใหญ่เกี่ยวข้องกับการบำรุงรักษาที่ไม่สม่ำเสมอ ดังนี้
1. ปลั๊กอินและธีมเวอร์ชันเก่าที่ไม่ได้อัปเดต
ช่องโหว่ด้านความปลอดภัยใน plugin และ theme คือประตูหลักที่แฮกเกอร์ใช้เจาะเข้าเว็บ เมื่อนักวิจัยค้นพบช่องโหว่และเผยแพร่ข้อมูลสาธารณะ บอทสแกนเว็บทั่วอินเทอร์เน็ตจะเริ่มโจมตีเว็บที่ยังใช้เวอร์ชันเก่าทันที — บางครั้งภายในไม่กี่ชั่วโมงหลังช่องโหว่ถูกเผยแพร่ ปลั๊กอินยอดนิยมอย่าง WooCommerce, Elementor, Contact Form 7 ล้วนมีประวัติช่องโหว่ที่นักโจมตีใช้งาน
2. รหัสผ่านอ่อนแอและ Username ที่ทายได้ง่าย
การโจมตีแบบ Brute Force คือการลองรหัสผ่านหลายล้านครั้งโดยอัตโนมัติ หาก Username คือ admin และรหัสผ่านสั้นหรือซ้ำกับเว็บอื่น โอกาสถูกเจาะสูงมาก ระบบ wp-login.php และ xmlrpc.php เป็นเป้าหมายโจมตีตลอด 24 ชั่วโมง
3. ธีมและปลั๊กอินเถื่อน (Nulled)
ธีมหรือปลั๊กอิน Premium ที่หามาฟรีจากเว็บนอกระบบมักถูกฝัง Backdoor ไว้แล้ว เมื่อติดตั้งลงเว็บ แฮกเกอร์สามารถเข้าถึงเว็บได้ทันทีโดยที่เจ้าของไม่รู้ตัว นี่คือสาเหตุที่ทำให้ Backdoor ใน WordPress แก้แล้วกลับมาติดซ้ำบ่อยครั้ง
4. Hosting ที่ไม่ปลอดภัยหรือแชร์ Server กับเว็บที่ติดไวรัส
บน Shared Hosting เว็บหลายร้อยเว็บอยู่ใน Server เดียวกัน หาก Hosting ไม่มีการแยก Environment ที่ดี เว็บข้างเคียงที่ติดไวรัสอาจแพร่กระจายมาถึงเว็บคุณได้ผ่านไฟล์ระบบที่แชร์กัน
5. ไฟล์ที่มีสิทธิ์ (Permission) กว้างเกินไป
การตั้งค่า Permission ไฟล์เป็น 777 (เขียนได้ทุกคน) เปิดโอกาสให้สคริปต์อันตรายเขียนทับหรือสร้างไฟล์ใหม่ในเว็บได้โดยตรง ค่าที่ถูกต้องควรเป็น 644 สำหรับไฟล์ และ 755 สำหรับโฟลเดอร์
สัญญาณที่บอกว่าเว็บกำลังถูกโจมตีหรือติดไวรัสแล้ว
หากเว็บมีพฤติกรรมผิดปกติต่อไปนี้ ควรตรวจสอบทันที ดูรายละเอียดได้ที่บทความ อาการ WordPress ติดมัลแวร์ และวิธีตรวจสอบด้วยตัวเอง
- เว็บโหลดช้าลงผิดปกติหรือล่มบ่อย
- เว็บเด้งพาผู้เข้าชมไปยังเว็บภายนอก เช่น เว็บพนันหรือเว็บโฆษณา
- Google แสดงคำเตือน “This site may be hacked” หรือ Safe Browsing บล็อกเว็บ
- Hosting ส่งอีเมลแจ้งพบ Malware หรือระงับบัญชี
- มี User ใหม่ที่ไม่รู้จักใน Dashboard
- พบไฟล์แปลกปลอมใน /wp-content/ หรือ root ของเว็บ
วิธีป้องกัน WordPress ไม่ให้ติดไวรัส
อัปเดต Core, Plugin, Theme อย่างสม่ำเสมอ
เปิด Auto-update สำหรับ WordPress core และ plugin ที่ไม่ซับซ้อน สำหรับเว็บสำคัญให้อัปเดตด้วยตัวเองทุก 1–2 สัปดาห์ หลังอัปเดตควร Backup ก่อนเสมอ
ใช้รหัสผ่านแข็งแกร่งและเปิด 2FA
ตั้งรหัสผ่านอย่างน้อย 16 ตัวอักษร ผสมตัวเลข ตัวพิมพ์เล็ก-ใหญ่ และสัญลักษณ์ เปลี่ยน Username จาก admin เป็นชื่ออื่น และเปิดใช้ Two-Factor Authentication ผ่าน plugin เช่น WP 2FA
ติดตั้ง Security Plugin และ Firewall
Plugin อย่าง Wordfence หรือ Solid Security (iThemes) ช่วยบล็อกการโจมตี Brute Force, สแกนไฟล์อันตราย และแจ้งเตือนเมื่อพบพฤติกรรมผิดปกติแบบ Real-time
เลือก Hosting ที่มีระบบ Security จริงจัง
มองหา Hosting ที่มีการแยก Environment ระหว่างผู้ใช้ (Isolated), มี Malware Scanner อัตโนมัติ, รองรับ SSL และมีระบบ Backup รายวัน
ตรวจสอบสิทธิ์ไฟล์และลบปลั๊กอินที่ไม่ใช้
ปลั๊กอินที่ไม่ได้ใช้แต่ยังคง Activate ไว้เป็นช่องโหว่ที่ไม่จำเป็น ลบออกให้หมด และตรวจสอบ File Permission ให้ถูกต้องเป็นระยะ สามารถ วิธีเช็กไฟล์แปลกปลอมใน WordPress ได้ด้วยตัวเอง
เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ
หากเว็บติดไวรัสไปแล้วและไม่แน่ใจว่าล้างได้สะอาดจริงหรือเปล่า ควรพิจารณาขอความช่วยเหลือจากผู้เชี่ยวชาญ เพราะไวรัสที่ล้างไม่หมดมักฝัง Backdoor ไว้หลายจุด ทำให้กลับมาติดซ้ำในเวลาไม่กี่วัน อ่านข้อมูลเพิ่มเติมได้ที่ เว็บ WordPress โดนแฮก ต้องทำอะไรก่อน และหากต้องการความช่วยเหลือด้านการ ล้างไวรัส WordPress โดยผู้เชี่ยวชาญ ทีมงานพร้อมดูแลตั้งแต่ต้นจนจบ
คำถามที่พบบ่อย
WordPress ติดไวรัสได้อย่างไรถ้าไม่ได้เปิดลิงก์อันตราย
ไวรัสส่วนใหญ่เข้าเว็บผ่านช่องโหว่ของปลั๊กอินหรือธีมที่ไม่อัปเดต ไม่ต้องอาศัยการกดลิงก์จากเจ้าของเว็บเลย บอทแฮกเกอร์สแกนเว็บอัตโนมัติและโจมตีช่องโหว่ที่รู้จักอยู่ตลอดเวลา
อัปเดต WordPress และปลั๊กอินบ่อยแค่ไหนถึงพอ
ควรอัปเดตอย่างน้อยทุก 1–2 สัปดาห์ หรือทันทีที่มีการอัปเดตด้านความปลอดภัย (Security patch) ให้รีบอัปเดตภายใน 24–48 ชั่วโมง
ปลั๊กอิน Nulled อันตรายจริงไหม
อันตรายมาก ปลั๊กอินและธีม Nulled มักถูกฝัง Backdoor ไว้ล่วงหน้า ทำให้แฮกเกอร์เข้าเว็บได้ทันทีที่คุณติดตั้ง และมักล้างออกได้ยากเพราะซ่อนตัวอยู่ในหลายไฟล์
Hosting ส่งอีเมลแจ้งพบ Malware ต้องทำอะไรก่อน
อย่าเพิกเฉย ให้ Backup ไฟล์และฐานข้อมูลไว้ก่อน จากนั้นสแกนหาไฟล์อันตราย และอ่านขั้นตอนเพิ่มเติมได้ที่บทความเรื่อง Hosting แจ้งพบ Malware โดยเฉพาะ