หลังล้างไวรัส WordPress ต้องทำอะไรต่อ

เมื่อล้างไวรัสออกจาก WordPress เสร็จแล้ว หลายคนคิดว่างานจบ แต่จริง ๆ แล้วขั้นตอน หลังล้างมัลแวร์ สำคัญพอ ๆ กับการล้างเอง เพราะถ้าไม่ปิดช่องโหว่และเสริมความปลอดภัยให้ถูกต้อง เว็บอาจกลับมาติดซ้ำภายในไม่กี่วัน บทความนี้จะพาคุณผ่าน checklist หลังล้างไวรัสแบบเป็นขั้นตอน เพื่อให้มั่นใจว่าเว็บสะอาดและปลอดภัยจริง

ถ้า Google Search Console แจ้ง Security Issues อยู่ ดูวิธีขอ Review ได้ที่ Search Console แจ้ง Security Issues ต้องทำอย่างไร

1. ยืนยันว่าล้างไวรัสสำเร็จจริง

ก่อนทำอย่างอื่น ต้องแน่ใจว่าล้างออกหมดแล้ว ไม่ใช่แค่ลบไฟล์ที่สแกนเจอ แต่ backdoor อาจซ่อนอยู่ในที่อื่น ให้ตรวจสอบดังนี้:

• สแกนซ้ำด้วยปลั๊กอิน เช่น Wordfence หรือ Sucuri Security แล้วดูว่าไม่พบไฟล์ต้องสงสัยอีก
• เช็ก Google Search Console ในหัวข้อ Security Issues ว่าการเตือนหายไปแล้วหรือยัง
• ตรวจสอบที่ Google Transparency Report (Safe Browsing) ว่าโดเมนถูก blacklist อยู่ไหม
• ลองเปิดเว็บผ่าน Incognito และ mobile ว่ายังเด้ง redirect แปลก ๆ อยู่ไหม

หากยังพบอาการผิดปกติ ให้กลับไปทบทวนว่ามี Backdoor ซ่อนอยู่ที่ไหนอีกไหม ก่อนทำขั้นตอนต่อไป

2. เปลี่ยนรหัสผ่านและ credentials ทั้งหมด

ข้อมูล login อาจถูกขโมยไประหว่างที่เว็บติดมัลแวร์ ดังนั้นต้องเปลี่ยนทุกอย่างใหม่ทันที:

• รหัสผ่าน Admin ทุกบัญชี ใน WordPress (ไปที่ Users > All Users แล้วแก้ทีละคน)
• รหัสผ่านฐานข้อมูล MySQL และอัพเดตค่าใน wp-config.php ให้ตรงกัน และควรเปลี่ยนรหัสผ่านอีกรอบหลังแน่ใจว่าเว็บสะอาดแล้ว
• FTP/SFTP credentials ที่ใช้เข้า hosting
• cPanel หรือ Plesk password ของ hosting account
• Secret Keys ใน wp-config.php — สร้างใหม่ได้ที่ https://api.wordpress.org/secret-key/1.1/salt/ แล้ว copy ไปแทนที่ค่าเดิม ตามคู่มือ My site was hacked ของ WordPress.org (จะ logout ผู้ใช้ทุกคนออกจากระบบโดยอัตโนมัติ)

3. อัพเดต WordPress, ธีม และปลั๊กอินทั้งหมด

ช่องโหว่ที่ไม่ได้แพทช์คือสาเหตุหลักที่ทำให้เว็บถูกโจมตี รายงาน State of WordPress Security in 2026 ของ Patchstack พบว่าช่องโหว่ใหม่ของ WordPress ในปี 2025 อยู่ใน Plugin 91% และ Theme 9% และWordPress ติดไวรัสบ่อยเพราะปลั๊กอินและธีมเก่า จึงต้องอัพเดตทันทีหลังล้างเสร็จ:

• ไปที่ Dashboard > Updates แล้วอัพเดต WordPress core, ธีม และปลั๊กอินให้หมด
• ลบปลั๊กอินและธีมที่ไม่ได้ใช้ออก — แม้ปิดการใช้งานอยู่ก็ยังมีไฟล์ที่อาจถูกใช้โจมตีได้
• ลบธีมที่ติดตั้งมาให้โดย WordPress เช่น Twenty Twenty-X ถ้าไม่ได้ใช้
• หากใช้ปลั๊กอินหรือธีม nulled (แคร็ก) ให้ลบทิ้งและซื้อลิขสิทธิ์จริงแทน เพราะมักมีมัลแวร์และ Backdoor ฝังมาตั้งแต่ต้น

4. ตั้งค่าความปลอดภัยขั้นพื้นฐาน

หลังล้างเสร็จแล้วต้องปิดช่องโหว่เพิ่มเติม เพื่อไม่ให้ถูกโจมตีแบบเดิมอีก:

• จำกัดการ login ผิดพลาด: ติดตั้งปลั๊กอิน เช่น Limit Login Attempts Reloaded หรือใช้ Wordfence
• เปิดใช้ Two-Factor Authentication (2FA) สำหรับบัญชี admin ตามแนวทาง Two-Step Authentication ของ WordPress.org
• ซ่อน URL ล็อกอิน: เปลี่ยน /wp-admin เป็น URL อื่นด้วยปลั๊กอิน WPS Hide Login
• ตั้ง permission ไฟล์ให้ถูกต้อง: โฟลเดอร์ควรเป็น 755, ไฟล์ควรเป็น 644, และ wp-config.php ควรเป็น 400 หรือ 440 ตามคู่มือ Hardening WordPress ของ WordPress.org
• ปิด File Editing ใน WordPress dashboard ตามคู่มือ Hardening โดยเพิ่ม define('DISALLOW_FILE_EDIT', true); ใน wp-config.php
• หากใช้ Wordfence ให้เปิด Web Application Firewall (WAF) ในโหมด Extended Protection

5. ขอให้ Google ถอด blacklist และแจ้ง hosting

ถ้าเว็บถูก Google ขึ้น warning หรือ hosting ระงับบัญชีเพราะพบมัลแวร์ ต้องดำเนินการขอถอดออก:

• Google Search Console: ไปที่ Security Issues > กด Request a Review พร้อมอธิบายว่าได้แก้ไขอะไรไปบ้าง — Google ใช้เวลาตั้งแต่ไม่กี่วันจนถึงไม่กี่สัปดาห์ในการตรวจสอบ ตามSearch Console Help
• Hosting: หากโฮสแจ้งและระงับบัญชีตามกรณีที่ Hosting แจ้งพบ Malware ให้แจ้งกลับว่าทำความสะอาดเสร็จแล้วพร้อมแนบหลักฐาน
• ตรวจสอบ blacklist อื่น ๆ ที่ mxtoolbox.com/blacklists.aspx หรือ Sucuri SiteCheck

6. ตั้งระบบป้องกันระยะยาว

การล้างไวรัสครั้งเดียวไม่ใช่ประกัน ต้องมีระบบป้องกันต่อเนื่อง:

• ตั้ง Backup อัตโนมัติ: ใช้ปลั๊กอิน UpdraftPlus บันทึกสำรองทุกวัน และเก็บไว้ใน Google Drive หรือ Dropbox — ไม่ใช่บน server เดียวกัน
• ติดตั้ง Security Plugin: Wordfence (ฟรี) หรือ Sucuri สำหรับ scanning และ firewall อย่างน้อยสัปดาห์ละครั้ง
• เปิด Activity Log: ปลั๊กอิน WP Activity Log จะบันทึกว่าใครทำอะไรในเว็บ มีประโยชน์มากถ้าเกิดเหตุซ้ำ
• อัพเดตสม่ำเสมอ: ตั้ง auto-update สำหรับ WordPress minor version และปลั๊กอินที่เชื่อถือได้
• ใช้ SSL/HTTPS: ถ้ายังไม่มี ให้ขอ Let’s Encrypt ฟรีจาก hosting

หากต้องการมืออาชีพดูแลให้ครบ สามารถดูรายละเอียดได้ที่ บริการล้างไวรัส WordPress ของเรา ซึ่งรวมถึงการตั้งค่าความปลอดภัยหลังล้างด้วย

สำหรับผู้ที่ยังไม่แน่ใจว่าเว็บมีปัญหาหรือเปล่า ลองอ่านอาการ WordPress ติดมัลแวร์และวิธีตรวจสอบด้วยตัวเองก่อนได้เลย

หลังล้างมัลแวร์แล้ว การอัปเดตและสแกนต่อเนื่องคือสิ่งที่กันไม่ให้ติดซ้ำ ถ้าต้องการให้เราดูแลต่อ ดูบริการ รับดูแลเว็บไซต์ WordPress รายเดือน

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. WordPress.org. (2026). FAQ: My site was hacked. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/documentation/article/faq-my-site-was-hacked/
2. WordPress.org. (ม.ป.ป.). Hardening WordPress. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/hardening/
3. Patchstack. (2026). State of WordPress Security in 2026. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
4. Google. (ม.ป.ป.). Security issues report – Search Console Help. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://support.google.com/webmasters/answer/9044101
5. Sucuri. (2026). The Security Risks of Using Nulled WordPress Plugins. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://blog.sucuri.net/2026/03/the-security-risks-of-using-nulled-wordpress-plugins.html
6. WordPress.org. (ม.ป.ป.). Two-Step Authentication. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/mfa/
7. WordPress.org. (ม.ป.ป.). Limit Login Attempts Reloaded (plugin directory). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/limit-login-attempts-reloaded/
8. Google. (ม.ป.ป.). Google Transparency Report: Safe Browsing site status. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://transparencyreport.google.com/safe-browsing/search