ล้างไวรัส WordPress เองได้ไหม? ข้อควรระวัง

หลายคนที่เจอปัญหาเว็บ WordPress ติดมัลแวร์มักถามว่า ล้างไวรัส WordPress เองได้ไหม คำตอบคือ “ได้” แต่มีเงื่อนไขสำคัญที่ต้องรู้ก่อน เพราะการล้างมัลแวร์ที่ไม่ครบถ้วนอาจทำให้เว็บติดซ้ำภายในไม่กี่วัน หรือทำให้เว็บพังหนักกว่าเดิม บทความนี้จะพาคุณไปดูขั้นตอนที่ถูกต้อง ข้อผิดพลาดที่พบบ่อย และจุดที่ควรหยุดแล้วโทรหาผู้เชี่ยวชาญแทน

ก่อนเริ่มล้าง: เช็กอาการให้แน่ใจก่อน

การรู้ว่าเว็บติดมัลแวร์จริงหรือไม่เป็นขั้นตอนแรกที่ขาดไม่ได้ อาการ WordPress ติดมัลแวร์ ที่พบบ่อยได้แก่ เว็บโหลดช้าผิดปกติ มีโฆษณาแปลกปลอมโผล่ขึ้นมา เว็บเด้งไปเว็บพนันหรือเว็บอันตราย หรือ Google แจ้งเตือนว่าเว็บอันตราย ก่อนลงมือล้างควรยืนยันให้ชัดว่าต้นเหตุคือมัลแวร์จริง ไม่ใช่ปัญหาปลั๊กอินหรือ theme ทั่วไป

ขั้นตอนล้างไวรัส WordPress ด้วยตัวเอง

ถ้าตัดสินใจจะล้างเอง ให้ทำตามลำดับนี้อย่างเคร่งครัด:

• สำรองข้อมูลก่อนเสมอ — แม้เว็บจะติดมัลแวร์ ก็ต้องมี backup ไว้เผื่อย้อนกลับ ซึ่งWordPress.org แนะนำให้ทำ snapshot ก่อนเริ่มล้างแม้ไฟล์จะติดเชื้ออยู่ ใช้ปลั๊กอินอย่าง UpdraftPlus หรือดาวน์โหลดไฟล์และฐานข้อมูลผ่าน cPanel
• สแกนด้วยปลั๊กอินเฉพาะทาง โดยWordPress.org แนะนำให้ใช้ทั้งสแกนเนอร์ในเว็บและสแกนเนอร์ภายนอกคู่กัน เพราะไม่มีเครื่องมือเดียวที่ดีที่สุด — ติดตั้ง Wordfence หรือ MalCare แล้วรันการสแกนเต็มรูปแบบ (Full Scan) ระบบจะแสดงรายการไฟล์ที่น่าสงสัย
• ลบหรือกู้คืนไฟล์ที่ติดเชื้อ — สำหรับไฟล์ core ของ WordPress ให้ดาวน์โหลดไฟล์ต้นฉบับจาก wordpress.org แล้วแทนที่ไฟล์ที่ถูกแก้ไข โดยใช้เวอร์ชันเดียวกับที่เว็บใช้และวางทับผ่าน FTP หรือ SFTP เพราะตัวติดตั้งในหน้า wp-admin มักเขียนทับเฉพาะไฟล์เดิม ขณะที่แฮกเกอร์มักเพิ่มไฟล์ใหม่ อย่าแค่ “ลบโค้ดแปลก” ออกจากไฟล์โดยไม่เทียบกับต้นฉบับ
• ตรวจ theme และปลั๊กอิน — วิธีเช็กไฟล์แปลกปลอมใน WordPress คือดูไฟล์ที่ถูกแก้ไขล่าสุดผิดปกติ หรือมีไฟล์ .php แปลกปลอมซ่อนอยู่ใน folder รูปภาพ
• เปลี่ยน password ทุกจุด — รหัสผ่าน WordPress admin, cPanel, FTP, และฐานข้อมูล MySQL ต้องเปลี่ยนทั้งหมด และควรเปลี่ยนอีกรอบหลังแน่ใจว่าเว็บสะอาดแล้ว
• อัปเดต WordPress, theme, และปลั๊กอินทั้งหมด — ช่องโหว่ที่แฮกเกอร์ใช้เจาะส่วนใหญ่อยู่ในซอฟต์แวร์เวอร์ชันเก่า

ข้อผิดพลาดที่ทำให้ติดซ้ำบ่อยที่สุด

สาเหตุที่หลายคนล้างไวรัสแล้วกลับมาติดใหม่ไม่ใช่เพราะล้างผิดขั้นตอน แต่เพราะ ลืมจัดการ backdoor แฮกเกอร์มักฝัง backdoor ไว้หลายจุดพร้อมกัน ล้างจุดหนึ่งออก แต่ยังมีอีกจุดที่ยังทำงานอยู่ นอกจากนี้ยังมีข้อผิดพลาดอื่นที่พบบ่อย เช่น:

• สแกนเฉพาะ WordPress core แต่ไม่สแกนไฟล์ใน directory อื่นของ hosting
• ล้างไฟล์แล้วแต่ไม่ได้ตรวจ database — มัลแวร์บางชนิดแอบซ่อนในตาราง wp_options หรือ wp_posts
• ใช้ theme หรือปลั๊กอินที่ดาวน์โหลดมาจากแหล่งไม่น่าเชื่อถือ (nulled plugins) ซึ่งมักมีมัลแวร์และ Backdoor ฝังมาตั้งแต่ต้น
• ไม่เปลี่ยน secret keys ใน wp-config.php หลังจากล้างเสร็จ ทั้งที่WordPress.org แนะนำให้เปลี่ยนเพื่อบังคับคนที่ยัง login ค้างอยู่ให้ออกจากระบบ

ข้อจำกัดของการล้างมัลแวร์ด้วยตัวเอง

การล้างเองเหมาะกับกรณีที่การติดเชื้อไม่รุนแรง ตรวจพบได้ชัดเจน และคุณมีความเข้าใจเรื่อง FTP และโครงสร้างไฟล์ WordPress พอสมควร แต่มีหลายสถานการณ์ที่ควรใช้บริการล้างไวรัส WordPress โดยผู้เชี่ยวชาญ แทน เช่น:

• เว็บถูกระงับโดย hosting และมีไฟล์มัลแวร์กระจายอยู่ทั่วเซิร์ฟเวอร์
• ล้างแล้วยังติดซ้ำภายใน 1–2 สัปดาห์
• ไม่แน่ใจว่า backdoor อยู่ที่ไหน หรือตรวจสอบ server log ไม่เป็น
• hosting แจ้งพบ malware และมีรายชื่อไฟล์ที่ต้องแก้ไขจำนวนมาก

ล้างเองหรือจ้างผู้เชี่ยวชาญ เปรียบเทียบตรง ๆ

• ค่าใช้จ่าย: ล้างเองเสียแค่ค่า Plugin ถ้ามี ส่วนจ้างผู้เชี่ยวชาญดูราคาแยกตามความหนักได้ที่ ค่าแก้เว็บโดนแฮก
• เวลา: ล้างเองใช้เวลามากกว่าที่คาด เพราะต้องไล่ทั้งไฟล์ ฐานข้อมูล และ Backdoor ส่วนเคสที่เราทำมักเสร็จใน 1-3 วันรวมการตรวจซ้ำ
• ความครบถ้วน: ล้างเองขึ้นกับทักษะ ผู้เชี่ยวชาญตรวจทั้งไฟล์ ฐานข้อมูล ผู้ใช้ และ Cron Job
• ความเสี่ยงติดซ้ำ: ล้างเองเสี่ยงสูงถ้าพลาด Backdoor ตัวเดียว งานจ้างควรมีระยะรับประกัน
• เหมาะกับ: ล้างเองเหมาะกับการติดเบื้องต้นและพอรู้เรื่องเทคนิค เว็บที่เด้ง มีหน้า Spam ใน Google หรือติดซ้ำ ควรให้ผู้เชี่ยวชาญดู

วิธีป้องกันไม่ให้ติดซ้ำหลังล้างเสร็จ

การล้างมัลแวร์ให้ได้ผลในระยะยาวต้องทำควบคู่กับการป้องกัน หลังล้างไวรัส WordPress ต้องทำอะไรต่อ ได้แก่ ติดตั้ง Web Application Firewall (WAF) เปิด two-factor authentication สำหรับ admin เปลี่ยน URL หน้า login จาก /wp-admin เป็น URL ที่คาดเดาได้ยาก และตั้งค่า file permission ให้ถูกต้อง (folders: 755, files: 644 ตามคู่มือ Hardening ของ WordPress.org) รวมถึงตรวจสอบ สาเหตุที่ WordPress ติดไวรัสบ่อย เพื่อปิดช่องโหว่เดิมให้ได้ก่อนนำเว็บกลับขึ้นออนไลน์

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. WordPress.org. (2026). FAQ: My site was hacked. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/documentation/article/faq-my-site-was-hacked/
2. Sucuri. (2026). The Security Risks of Using Nulled WordPress Plugins. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://blog.sucuri.net/2026/03/the-security-risks-of-using-nulled-wordpress-plugins.html
3. WordPress.org. (ม.ป.ป.). Hardening WordPress. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/hardening/