Hosting แจ้งพบ Malware บน WordPress ต้องทำอย่างไร

เมื่อ Hosting ส่งอีเมลแจ้งว่าพบ Malware บนเว็บไซต์ WordPress ของคุณ หลายคนรู้สึกตกใจและไม่รู้จะเริ่มต้นจัดการอย่างไร ความจริงคือโฮสติ้งแจ้งเพราะระบบตรวจสอบอัตโนมัติพบไฟล์หรือโค้ดที่น่าสงสัย ซึ่งอาจทำให้บัญชีโฮสติ้งของคุณถูกระงับหากไม่รีบดำเนินการ บทความนี้จะอธิบายขั้นตอนที่ควรทำทันทีเมื่อได้รับอีเมลแบบนี้ เพื่อให้เว็บกลับมาทำงานได้ปกติและปลอดภัยโดยเร็วที่สุด

nn

ทำไม Hosting ถึงแจ้งเตือน Malware

n

โฮสติ้งส่วนใหญ่ใช้ระบบสแกนอัตโนมัติเช่น ClamAV หรือ Imunify360 ตรวจสอบไฟล์ในเซิร์ฟเวอร์อยู่ตลอดเวลา เมื่อระบบตรวจพบสัญญาณที่ตรงกับฐานข้อมูลมัลแวร์ จะส่งการแจ้งเตือนมายังอีเมลเจ้าของบัญชีทันที อีเมลมักระบุชื่อไฟล์ที่ถูกพบ เช่น /public_html/wp-content/uploads/2024/01/image.php พร้อมระดับความเสี่ยง บางโฮสติ้งจะระงับบัญชีก่อนแล้วค่อยแจ้ง ในขณะที่บางรายให้เวลา 24–72 ชั่วโมงในการแก้ไข สาเหตุที่ WordPress ติดมัลแวร์มักมาจาก ปลั๊กอินหรือธีมที่ไม่ได้อัปเดต รหัสผ่านที่อ่อนแอ หรือไฟล์ที่ถูกแก้ไขโดยผู้ไม่หวังดี

nn

nn

อ่านอีเมลแจ้งเตือนให้เข้าใจก่อน

n

ก่อนดำเนินการใด ๆ ให้อ่านอีเมลจากโฮสติ้งอย่างละเอียดและจดบันทึกข้อมูลสำคัญดังนี้

n

n
• ชื่อไฟล์และพาธที่ถูกตรวจพบ — เช่น /public_html/wp-includes/ms-settings.php

n

• ประเภทมัลแวร์ — เช่น PHP/WebShell, JS/Injector, Backdoor.Generic

n

• เส้นตายที่โฮสติ้งกำหนด — มีเวลาเหลือเท่าไหร่ก่อนบัญชีถูกระงับ

n

• คำแนะนำเฉพาะจากโฮสติ้ง — บางรายบอกให้ลบไฟล์นั้น ๆ ออกก่อน

n

n

ข้อมูลเหล่านี้จะช่วยให้คุณจัดลำดับความเร่งด่วนได้ถูกต้อง และใช้ประกอบการตรวจสอบในขั้นตอนถัดไป

nn

ขั้นตอนแก้ไขเมื่อ Hosting แจ้งพบ Malware

n

ดำเนินการตามลำดับนี้ อย่าข้ามขั้นตอน เพราะการลบไฟล์โดยไม่สำรองข้อมูลก่อนอาจทำให้กู้คืนยาก

n

n
• 1. สำรองข้อมูลทั้งหมดทันที — แม้เว็บจะติดมัลแวร์ ให้สำรองไฟล์และฐานข้อมูลไว้ก่อน เพื่อมีข้อมูลอ้างอิงและกู้คืนเนื้อหาได้ในภายหลัง

n

• 2. เปลี่ยนรหัสผ่านทุกจุด — WordPress admin, cPanel/Hosting, FTP, และฐานข้อมูล MySQL ทันที เพื่อปิดทางเข้าของผู้บุกรุก

n

• 3. ตรวจสอบไฟล์ที่ถูกระบุในอีเมล — เข้า File Manager ใน cPanel แล้วเปิดดูไฟล์นั้น หากพบโค้ด PHP ที่ยาวผิดปกติหรือถูก encode ด้วย base64 คือสัญญาณชัดว่าเป็นมัลแวร์ ไฟล์ PHP ในโฟลเดอร์ uploads/ ถือว่าผิดปกติเสมอ

n

• 4. สแกนด้วยปลั๊กอินหรือเครื่องมือ — ใช้ Wordfence Security หรือ MalCare สแกนเว็บทั้งหมด เพื่อตรวจหาไฟล์ที่ติดเชื้ออื่น ๆ ที่โฮสติ้งอาจยังไม่ได้ระบุ

n

• 5. ลบหรือทำความสะอาดไฟล์ที่ติดเชื้อ — ไฟล์ที่ไม่ใช่ส่วนหนึ่งของ WordPress core ให้ลบทิ้ง ไฟล์ core ที่ถูกแก้ไขให้แทนที่ด้วยไฟล์ใหม่จาก wordpress.org

n

• 6. อัปเดต WordPress, ธีม และปลั๊กอินทั้งหมด — ช่องโหว่ที่ถูก patch แล้วจะปิดทางเข้าที่แฮกเกอร์เคยใช้

n

• 7. แจ้งโฮสติ้งว่าแก้ไขแล้ว — ขอให้โฮสติ้งสแกนซ้ำและยืนยันว่าบัญชีปลอดภัยก่อนเปิดเว็บตามปกติ

n

nn

nn

nn

วิธีตรวจสอบว่าล้างมัลแวร์สำเร็จแล้ว

n

หลังจากทำความสะอาดแล้ว ให้ตรวจสอบด้วยวิธีเหล่านี้เพื่อความมั่นใจ

n

n
• สแกนซ้ำด้วย Wordfence หรือ MalCare อีกครั้ง ต้องไม่พบไฟล์ที่น่าสงสัยเพิ่มเติม

n

• ตรวจสอบด้วย วิธีเช็กไฟล์แปลกปลอมใน WordPress เพื่อหาไฟล์ที่ถูกแก้ไขล่าสุดผิดปกติ

n

• เช็กเว็บผ่าน Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search

n

• ขอให้โฮสติ้งสแกนซ้ำและออกใบรับรองว่าปลอดภัย

n

• ตรวจดู Google Search Console ว่ามีการแจ้งเตือนความปลอดภัยหรือไม่

n

n

หากเว็บเคยถูกติดธง (flagged) โดย Google ให้ยื่นขอ Review ผ่าน Search Console หลังจากล้างมัลแวร์เรียบร้อยแล้ว เพื่อให้ Google ลบคำเตือนออกจากผลการค้นหา ดูรายละเอียดเพิ่มเติมได้ที่ สิ่งที่ต้องทำหลังล้างไวรัส WordPress

nn

วิธีป้องกันไม่ให้โฮสติ้งแจ้งซ้ำ

n

การล้างมัลแวร์ครั้งเดียวไม่เพียงพอหากยังมี Backdoor ที่ซ่อนอยู่ แฮกเกอร์มักฝาก Backdoor หลายจุดไว้เพื่อกลับมาติดตั้งมัลแวร์ใหม่ได้อีกครั้ง วิธีป้องกันระยะยาวมีดังนี้

n

n
• อัปเดต WordPress, ธีม และปลั๊กอินสม่ำเสมอ — ตั้งค่า Auto-update สำหรับ minor releases

n

• ใช้รหัสผ่านที่แข็งแรงและเปิด 2FA — สำหรับ WordPress admin และ cPanel

n

• จำกัดการเข้าถึง wp-admin — ด้วย IP Allowlist หรือ Basic Auth บน .htaccess

n

• ติดตั้ง Firewall ระดับแอปพลิเคชัน — เช่น Wordfence หรือ Cloudflare WAF

n

• ลบปลั๊กอินและธีมที่ไม่ได้ใช้ — แม้จะ Deactivate แล้วก็ยังเป็นช่องโหว่ได้

n

• สำรองข้อมูลอัตโนมัติทุกวัน — เก็บสำรองไว้นอกโฮสติ้งอย่างน้อย 14 วัน

n

nn

เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ

n

มีหลายกรณีที่การจัดการเองอาจไม่เพียงพอหรืออาจทำให้เว็บเสียหายมากกว่าเดิม ควรพิจารณาจ้างผู้เชี่ยวชาญล้างไวรัส WordPress เมื่อ

n

n
• โฮสติ้งระงับบัญชีแล้วและต้องการแก้ไขด่วนภายในไม่กี่ชั่วโมง

n

• สแกนซ้ำหลายครั้งแต่ยังพบมัลแวร์ใหม่อีก (ติดซ้ำ)

n

• ไม่มั่นใจว่าล้างครบหรือยัง เพราะ อาการของมัลแวร์ WordPress บางอย่างมองไม่เห็นด้วยตาเปล่า

n

• เว็บถูกใช้เป็นเครื่องมือส่ง Spam หรือโจมตีเว็บอื่น ซึ่งโฮสติ้งอาจฟ้องร้องได้

n

• มีข้อมูลลูกค้าหรือข้อมูลทางการเงินบนเว็บที่ต้องตรวจสอบการรั่วไหล

n

n

ผู้เชี่ยวชาญจะทำความสะอาดได้ลึกกว่า ตรวจหา Backdoor ที่ซ่อนอยู่ และตั้งค่าป้องกันระยะยาวให้คุณ ช่วยประหยัดเวลาและลดความเสี่ยงที่จะเกิดปัญหาซ้ำอีก

คำถามที่พบบ่อย

โฮสติ้งแจ้ง Malware แต่เว็บยังใช้งานได้ปกติ ต้องรีบแก้ไหม

ต้องรีบแก้ทันที เพราะมัลแวร์หลายชนิดทำงานเบื้องหลังโดยไม่มีผลต่อการแสดงผลเว็บ เช่น ส่ง Spam หรือขโมยข้อมูล โฮสติ้งอาจระงับบัญชีโดยไม่แจ้งล่วงหน้าหากไม่แก้ไขภายในเวลาที่กำหนด

ลบไฟล์ที่โฮสติ้งระบุออกแล้ว เว็บกลับมาปกติไหม

ขึ้นอยู่กับว่ามัลแวร์แพร่กระจายไปไฟล์อื่นด้วยหรือเปล่า การลบเฉพาะไฟล์ที่ถูกระบุอาจไม่เพียงพอ ควรสแกนเว็บทั้งหมดอีกครั้งและตรวจหา Backdoor ที่อาจยังซ่อนอยู่

โฮสติ้งระงับบัญชีแล้ว ต้องทำอย่างไรก่อน

ติดต่อโฮสติ้งเพื่อขอเข้าถึงไฟล์ผ่าน cPanel หรือ FTP ชั่วคราว จากนั้นล้างมัลแวร์แล้วแจ้งให้โฮสติ้งสแกนยืนยัน เมื่อได้รับการยืนยันว่าปลอดภัยบัญชีจะถูกเปิดใช้งานอีกครั้ง

ล้างมัลแวร์เองแล้วโฮสติ้งยังแจ้งซ้ำ เกิดจากอะไร

มักเกิดจาก Backdoor ที่ยังหลงเหลืออยู่ในระบบ แฮกเกอร์จะใช้ Backdoor ติดตั้งมัลแวร์ใหม่โดยอัตโนมัติ ต้องตรวจสอบและลบ Backdoor ให้หมดก่อน ไม่ใช่แค่ลบมัลแวร์ที่มองเห็น