สรุปคำตอบ
เมื่อ Hosting แจ้งพบ Malware บน WordPress แปลว่าระบบสแกนอัตโนมัติของโฮสต์ เช่น ClamAV หรือ Imunify360 พบไฟล์หรือโค้ดที่ตรงกับฐานข้อมูลมัลแวร์ และบัญชีอาจถูกระงับถ้าไม่แก้ภายในเวลาที่กำหนด ให้อ่านอีเมลเพื่อจดชื่อไฟล์ ประเภทมัลแวร์ และเส้นตาย จากนั้นสำรองข้อมูล เปลี่ยนรหัสผ่านทุกจุด ตรวจและลบไฟล์ที่ถูกระบุ สแกนทั้งเว็บ แทนที่ไฟล์ Core ที่ถูกแก้ อัปเดตทุก Plugin และ Theme แล้วแจ้งโฮสต์ให้สแกนซ้ำ ต้องตามลบ Backdoor ด้วย ไม่เช่นนั้นจะถูกแจ้งซ้ำ
เมื่อ Hosting ส่งอีเมลแจ้งว่าพบ Malware บนเว็บไซต์ WordPress ของคุณ หลายคนรู้สึกตกใจและไม่รู้จะเริ่มต้นจัดการอย่างไร ความจริงคือโฮสติ้งแจ้งเพราะระบบตรวจสอบอัตโนมัติพบไฟล์หรือโค้ดที่น่าสงสัย ซึ่งอาจทำให้บัญชีโฮสติ้งของคุณถูกระงับหากไม่รีบดำเนินการ บทความนี้จะอธิบายขั้นตอนที่ควรทำทันทีเมื่อได้รับอีเมลแบบนี้ เพื่อให้เว็บกลับมาทำงานได้ปกติและปลอดภัยโดยเร็วที่สุด
ทำไม Hosting ถึงแจ้งเตือน Malware
โฮสติ้งส่วนใหญ่ใช้ระบบสแกนอัตโนมัติเช่น ClamAV หรือ Imunify360 ตรวจสอบไฟล์ในเซิร์ฟเวอร์อยู่ตลอดเวลา เมื่อระบบตรวจพบสัญญาณที่ตรงกับฐานข้อมูลมัลแวร์ จะส่งการแจ้งเตือนมายังอีเมลเจ้าของบัญชีทันที อีเมลมักระบุชื่อไฟล์ที่ถูกพบ เช่น /public_html/wp-content/uploads/2024/01/image.php พร้อมระดับความเสี่ยง บางโฮสติ้งจะระงับบัญชีก่อนแล้วค่อยแจ้ง ในขณะที่บางรายให้เวลา 24–72 ชั่วโมงในการแก้ไข สาเหตุที่ WordPress ติดมัลแวร์มักมาจาก ปลั๊กอินหรือธีมที่ไม่ได้อัปเดต รหัสผ่านที่อ่อนแอ หรือไฟล์ที่ถูกแก้ไขโดยผู้ไม่หวังดี
อ่านอีเมลแจ้งเตือนให้เข้าใจก่อน
ก่อนดำเนินการใด ๆ ให้อ่านอีเมลจากโฮสติ้งอย่างละเอียดและจดบันทึกข้อมูลสำคัญดังนี้
- ชื่อไฟล์และพาธที่ถูกตรวจพบ — เช่น
/public_html/wp-includes/ms-settings.php - ประเภทมัลแวร์ — เช่น PHP/WebShell, JS/Injector, Backdoor.Generic
- เส้นตายที่โฮสติ้งกำหนด — มีเวลาเหลือเท่าไหร่ก่อนบัญชีถูกระงับ
- คำแนะนำเฉพาะจากโฮสติ้ง — บางรายบอกให้ลบไฟล์นั้น ๆ ออกก่อน
ข้อมูลเหล่านี้จะช่วยให้คุณจัดลำดับความเร่งด่วนได้ถูกต้อง และใช้ประกอบการตรวจสอบในขั้นตอนถัดไป
ขั้นตอนแก้ไขเมื่อ Hosting แจ้งพบ Malware
ดำเนินการตามลำดับนี้ อย่าข้ามขั้นตอน เพราะการลบไฟล์โดยไม่สำรองข้อมูลก่อนอาจทำให้กู้คืนยาก
- 1. สำรองข้อมูลทั้งหมดทันที — แม้เว็บจะติดมัลแวร์ ให้สำรองไฟล์และฐานข้อมูลไว้ก่อน เพื่อมีข้อมูลอ้างอิงและกู้คืนเนื้อหาได้ในภายหลัง
- 2. เปลี่ยนรหัสผ่านทุกจุด — WordPress admin, cPanel/Hosting, FTP, และฐานข้อมูล MySQL ทันที เพื่อปิดทางเข้าของผู้บุกรุก
- 3. ตรวจสอบไฟล์ที่ถูกระบุในอีเมล — เข้า File Manager ใน cPanel แล้วเปิดดูไฟล์นั้น หากพบโค้ด PHP ที่ยาวผิดปกติหรือถูก encode ด้วย base64 คือสัญญาณชัดว่าเป็นมัลแวร์ ไฟล์ PHP ในโฟลเดอร์
uploads/ถือว่าผิดปกติเสมอ - 4. สแกนด้วยปลั๊กอินหรือเครื่องมือ — ใช้ Wordfence Security หรือ MalCare สแกนเว็บทั้งหมด เพื่อตรวจหาไฟล์ที่ติดเชื้ออื่น ๆ ที่โฮสติ้งอาจยังไม่ได้ระบุ
- 5. ลบหรือทำความสะอาดไฟล์ที่ติดเชื้อ — ไฟล์ที่ไม่ใช่ส่วนหนึ่งของ WordPress core ให้ลบทิ้ง ไฟล์ core ที่ถูกแก้ไขให้แทนที่ด้วยไฟล์ใหม่จาก wordpress.org
- 6. อัปเดต WordPress, ธีม และปลั๊กอินทั้งหมด — ช่องโหว่ที่ถูก patch แล้วจะปิดทางเข้าที่แฮกเกอร์เคยใช้
- 7. แจ้งโฮสติ้งว่าแก้ไขแล้ว — ขอให้โฮสติ้งสแกนซ้ำและยืนยันว่าบัญชีปลอดภัยก่อนเปิดเว็บตามปกติ
wp-content/uploads/ หรือมีชื่อที่ไม่เกี่ยวข้องกับ WordPress core เช่น ms-settings.php, wp-feed.php, class.theme-modules.php มักเป็น Web Shell หรือ Backdoor ที่แฮกเกอร์ฝากไว้ ให้ลบทิ้งทันทีโดยไม่ต้องลังเล
วิธีตรวจสอบว่าล้างมัลแวร์สำเร็จแล้ว
หลังจากทำความสะอาดแล้ว ให้ตรวจสอบด้วยวิธีเหล่านี้เพื่อความมั่นใจ
- สแกนซ้ำด้วย Wordfence หรือ MalCare อีกครั้ง ต้องไม่พบไฟล์ที่น่าสงสัยเพิ่มเติม
- ตรวจสอบด้วย วิธีเช็กไฟล์แปลกปลอมใน WordPress เพื่อหาไฟล์ที่ถูกแก้ไขล่าสุดผิดปกติ
- เช็กเว็บผ่าน Google Safe Browsing:
https://transparencyreport.google.com/safe-browsing/search - ขอให้โฮสติ้งสแกนซ้ำและออกใบรับรองว่าปลอดภัย
- ตรวจดู Google Search Console ว่ามีการแจ้งเตือนความปลอดภัยหรือไม่
หากเว็บเคยถูกติดธง (flagged) โดย Google ให้ยื่นขอ Review ผ่าน Search Console หลังจากล้างมัลแวร์เรียบร้อยแล้ว เพื่อให้ Google ลบคำเตือนออกจากผลการค้นหา ดูรายละเอียดเพิ่มเติมได้ที่ สิ่งที่ต้องทำหลังล้างไวรัส WordPress
วิธีป้องกันไม่ให้โฮสติ้งแจ้งซ้ำ
การล้างมัลแวร์ครั้งเดียวไม่เพียงพอหากยังมี Backdoor ที่ซ่อนอยู่ แฮกเกอร์มักฝาก Backdoor หลายจุดไว้เพื่อกลับมาติดตั้งมัลแวร์ใหม่ได้อีกครั้ง วิธีป้องกันระยะยาวมีดังนี้
- อัปเดต WordPress, ธีม และปลั๊กอินสม่ำเสมอ — ตั้งค่า Auto-update สำหรับ minor releases
- ใช้รหัสผ่านที่แข็งแรงและเปิด 2FA — สำหรับ WordPress admin และ cPanel
- จำกัดการเข้าถึง wp-admin — ด้วย IP Allowlist หรือ Basic Auth บน .htaccess
- ติดตั้ง Firewall ระดับแอปพลิเคชัน — เช่น Wordfence หรือ Cloudflare WAF
- ลบปลั๊กอินและธีมที่ไม่ได้ใช้ — แม้จะ Deactivate แล้วก็ยังเป็นช่องโหว่ได้
- สำรองข้อมูลอัตโนมัติทุกวัน — เก็บสำรองไว้นอกโฮสติ้งอย่างน้อย 14 วัน
เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ
มีหลายกรณีที่การจัดการเองอาจไม่เพียงพอหรืออาจทำให้เว็บเสียหายมากกว่าเดิม ควรพิจารณาจ้างผู้เชี่ยวชาญล้างไวรัส WordPress เมื่อ
- โฮสติ้งระงับบัญชีแล้วและต้องการแก้ไขด่วนภายในไม่กี่ชั่วโมง
- สแกนซ้ำหลายครั้งแต่ยังพบมัลแวร์ใหม่อีก (ติดซ้ำ)
- ไม่มั่นใจว่าล้างครบหรือยัง เพราะ อาการของมัลแวร์ WordPress บางอย่างมองไม่เห็นด้วยตาเปล่า
- เว็บถูกใช้เป็นเครื่องมือส่ง Spam หรือโจมตีเว็บอื่น ซึ่งโฮสติ้งอาจฟ้องร้องได้
- มีข้อมูลลูกค้าหรือข้อมูลทางการเงินบนเว็บที่ต้องตรวจสอบการรั่วไหล
ผู้เชี่ยวชาญจะทำความสะอาดได้ลึกกว่า ตรวจหา Backdoor ที่ซ่อนอยู่ และตั้งค่าป้องกันระยะยาวให้คุณ ช่วยประหยัดเวลาและลดความเสี่ยงที่จะเกิดปัญหาซ้ำอีก
- ถ้ายังไม่แน่ใจว่ามัลแวร์ที่ Hosting แจ้งเป็นแบบไหน ดูภาพรวมที่ Malware คืออะไร มัลแวร์และไวรัสเว็บไซต์ 12 ประเภท
- ถ้าโฮสติ้งแจ้งว่ามี URL หลอกลวงอยู่ในเว็บ อาจเป็นหน้าปลอมที่ถูกวางไว้ อ่าน เว็บโดนฝังหน้า Phishing คืออะไร
- ถ้าโฮสต์แจ้งว่าบัญชีของคุณส่งอีเมลสแปม ให้ดูวิธีหาสคริปต์ส่งเมลและขอถอดออกจาก blacklist ที่ บทความเรื่อง Spam Mailer และ IP ติด blacklist
- ถ้าโฮสติ้งแจ้งว่าบัญชีใช้ CPU สูงผิดปกติร่วมกับพบไฟล์อันตราย อาจเป็นโปรแกรมขุดเหรียญ ดูวิธีแยกแยะใน Cryptojacking คืออะไร
คำถามที่พบบ่อย
โฮสติ้งแจ้ง Malware แต่เว็บยังใช้งานได้ปกติ ต้องรีบแก้ไหม
ต้องรีบแก้ทันที เพราะมัลแวร์หลายชนิดทำงานเบื้องหลังโดยไม่มีผลต่อการแสดงผลเว็บ เช่น ส่ง Spam หรือขโมยข้อมูล โฮสติ้งอาจระงับบัญชีโดยไม่แจ้งล่วงหน้าหากไม่แก้ไขภายในเวลาที่กำหนด
ลบไฟล์ที่โฮสติ้งระบุออกแล้ว เว็บกลับมาปกติไหม
ขึ้นอยู่กับว่ามัลแวร์แพร่กระจายไปไฟล์อื่นด้วยหรือเปล่า การลบเฉพาะไฟล์ที่ถูกระบุอาจไม่เพียงพอ ควรสแกนเว็บทั้งหมดอีกครั้งและตรวจหา Backdoor ที่อาจยังซ่อนอยู่
โฮสติ้งระงับบัญชีแล้ว ต้องทำอย่างไรก่อน
ติดต่อโฮสติ้งเพื่อขอเข้าถึงไฟล์ผ่าน cPanel หรือ FTP ชั่วคราว จากนั้นล้างมัลแวร์แล้วแจ้งให้โฮสติ้งสแกนยืนยัน เมื่อได้รับการยืนยันว่าปลอดภัยบัญชีจะถูกเปิดใช้งานอีกครั้ง
ล้างมัลแวร์เองแล้วโฮสติ้งยังแจ้งซ้ำ เกิดจากอะไร
มักเกิดจาก Backdoor ที่ยังหลงเหลืออยู่ในระบบ แฮกเกอร์จะใช้ Backdoor ติดตั้งมัลแวร์ใหม่โดยอัตโนมัติ ต้องตรวจสอบและลบ Backdoor ให้หมดก่อน ไม่ใช่แค่ลบมัลแวร์ที่มองเห็น
อีเมลโฮสต์แจ้ง PHP/WebShell หรือ Backdoor.Generic แปลว่าอะไร?
เป็นชื่อประเภทมัลแวร์ที่ระบบสแกนตรวจพบ PHP/WebShell คือสคริปต์ที่แฮกเกอร์ใช้ควบคุมเซิร์ฟเวอร์จากระยะไกล ส่วน Backdoor คือประตูลับที่ใช้กลับเข้ามาฝังมัลแวร์ใหม่ ทั้งสองแบบต้องลบออกและหาว่าแฮกเกอร์เข้ามาทางไหน
ทำไมเว็บ WordPress ถึงติดมัลแวร์จนโฮสต์ต้องแจ้ง?
สาเหตุที่พบบ่อยคือ Plugin หรือ Theme ที่ไม่ได้อัปเดตและมีช่องโหว่ รหัสผ่านที่อ่อนแอ หรือไฟล์ที่ถูกผู้ไม่หวังดีแก้ไข แฮกเกอร์จึงเข้ามาวางไฟล์อันตรายจนระบบสแกนของโฮสต์ตรวจเจอ
