WordPress ติดไวรัส คืออะไร? อาการและวิธีตรวจสอบเบื้องต้น

WordPress คือระบบจัดการเว็บไซต์ (CMS) ที่ได้รับความนิยมมากที่สุดในโลก ขับเคลื่อนเว็บไซต์ราว 40% ของทั้งโลก (ข้อมูล W3Techs ตุลาคม 2026) ความนิยมนี้เองที่ทำให้ WordPress ตกเป็นเป้าหมายอันดับต้น ๆ ของแฮกเกอร์และบอทอัตโนมัติ บทความนี้จะช่วยให้คุณสังเกตอาการที่บ่งบอกว่าเว็บไซต์อาจติดมัลแวร์ พร้อมวิธีตรวจสอบเบื้องต้นด้วยตัวเองก่อนตัดสินใจว่าจะแก้เองหรือเรียกผู้เชี่ยวชาญ

คำว่าไวรัสกับมัลแวร์มีความหมายต่างกัน ดูนิยามและประเภทของมัลแวร์บนเว็บไซต์ได้ที่ Malware คืออะไร มีกี่ประเภท

อาการที่บ่งบอกว่า WordPress ติดมัลแวร์

มัลแวร์บน WordPress มักไม่แสดงตัวตรง ๆ แต่จะทิ้งร่องรอยให้สังเกตได้ หากเว็บของคุณมีอาการเหล่านี้ตั้งแต่ 1 ข้อขึ้นไป มีความเป็นไปได้สูงว่าถูกฝังโค้ดอันตราย:

• เว็บเด้งไปหน้าอื่นเอง — โดยเฉพาะเด้งไปเว็บพนัน เว็บขายยา หรือเว็บปลอม โดยมักเด้งเฉพาะเมื่อเข้าจากมือถือหรือจาก Google เท่านั้น ซึ่งตรงกับตัวอย่างในนโยบาย Hacked content ของ Google (อ่าน วิธีแก้เว็บเด้งไปเว็บพนัน)
• Google ขึ้นเตือน “ไซต์นี้อาจเป็นอันตราย” — หน้าจอแดงก่อนเข้าเว็บ หรือเว็บถูกถอดออกจากผลการค้นหา
• โฮสติ้งส่งอีเมลแจ้งพบ Malware หรือระงับบัญชี (suspend) — อ่าน เมื่อโฮสติ้งแจ้งพบมัลแวร์ ต้องทำอย่างไร
• มีไฟล์หรือโฟลเดอร์แปลกปลอม เช่น ไฟล์ .php ชื่อสุ่มในโฟลเดอร์ wp-content/uploads ซึ่งปกติไม่ควรมีไฟล์รันโค้ด
• มี User ระดับ Admin ที่คุณไม่ได้สร้าง โผล่ขึ้นมาในระบบ ซึ่งWordPress.org จัดเป็นสัญญาณชัดเจนว่าเว็บถูกแฮก
• ผลค้นหา Google แสดงข้อความภาษาญี่ปุ่นหรือชื่อยาผิดกฎหมาย (เรียกว่า Japanese Keyword Hack และ Pharma Hack)
• เว็บโหลดช้าผิดปกติ หรือโฮสติ้งแจ้งว่าใช้ทรัพยากร (CPU) สูงเกินจริง เพราะมัลแวร์มักแอบส่งสแปมหรือขุดเหรียญอยู่เบื้องหลัง
• เข้า wp-admin ไม่ได้ ทั้งที่รหัสผ่านถูกต้อง

สาเหตุที่ทำให้ WordPress ติดมัลแวร์

การเข้าใจต้นเหตุจะช่วยให้แก้ได้ตรงจุดและป้องกันไม่ให้เกิดซ้ำ สาเหตุที่พบบ่อยที่สุดได้แก่:

• ใช้ Plugin หรือ Theme เถื่อน (Nulled) — เป็นช่องทางที่เสี่ยงมาก เพราะมักมี Backdoor ฝังมาตั้งแต่แรก
• ไม่อัปเดต WordPress, Plugin หรือ Theme — ช่องโหว่เก่าที่ถูกเปิดเผยแล้วคือเป้าหมายง่ายของบอท โดยPatchstack รายงานช่องโหว่ใหม่ 11,334 รายการในปี 2025 และ 91% อยู่ใน Plugin (อ่าน ทำไมต้องอัปเดต Plugin และ Theme)
• รหัสผ่านอ่อนแอ หรือใช้ Username ว่า admin ทำให้ถูกเดารหัสได้ง่าย
• โฮสติ้งคุณภาพต่ำ ที่ความปลอดภัยหละหลวม หรือแชร์เซิร์ฟเวอร์กับเว็บที่ติดเชื้ออยู่แล้ว

ตัวอย่างสิ่งที่จะเห็นเมื่อเว็บติดมัลแวร์

สองจุดที่เจ้าของเว็บเช็กเองได้ทันทีโดยไม่ต้องเข้า Hosting คือโค้ดหน้าเว็บ และผลค้นหาใน Google ตัวอย่างในหัวข้อนี้ตัดส่วนที่ทำงานได้ออกแล้ว และเปลี่ยนโดเมนเป็นโดเมนสมมติ .example ใช้เพื่อให้จำหน้าตาได้เวลาเจอในเว็บของคุณเท่านั้น

…
<script src="https://cdn-jquery.example/jquery.min.js?v=3.7"></script>   ← โดเมนเลียนแบบ jQuery
<script>eval(atob('ZG9jdW1lbnQud3JpdGUo…ตัดออก…'))</script>
</body>
</html>

yourdomain.com › ?p=83921
สล็อตเว็บตรง แตกง่าย ฝากถอนไม่มีขั้นต่ำ …

yourdomain.com › products › 2kx9-cheap
激安 ブランド バッグ 通販 …

วิธีตรวจสอบเบื้องต้นด้วยตัวเอง

ก่อนจะสรุปว่าเว็บติดมัลแวร์จริงหรือไม่ ลองทำตามขั้นตอนเหล่านี้:

• สแกนด้วยเครื่องมือออนไลน์ฟรี เช่น Sucuri SiteCheck หรือ VirusTotal เพียงใส่ URL เว็บก็ตรวจได้ทันที
• ค้นใน Google ด้วยคำสั่ง site:ชื่อเว็บของคุณ เพื่อดูว่ามีหน้าแปลกปลอมหรือภาษาต่างด้าวโผล่ในผลค้นหาหรือไม่
• ตรวจรายชื่อผู้ใช้ ที่เมนู Users ใน wp-admin ว่ามี Admin ที่ไม่รู้จักหรือไม่
• ดูไฟล์ที่ถูกแก้ไขล่าสุด ผ่าน File Manager หรือ FTP (WordPress.org ระบุว่าไฟล์อย่าง .htaccess, index.php, header.php และ footer.php ถูกแก้บ่อย เพราะกระทบทุกหน้า) โดยเฉพาะไฟล์ index.php, wp-config.php และ .htaccess (อ่าน วิธีตรวจไฟล์ต้องสงสัยใน WordPress)
• ติดตั้ง Wordfence แล้วสั่ง Scan เพื่อให้ระบบช่วยชี้ไฟล์ที่ผิดปกติ

ถ้าพบว่าติดมัลแวร์ ต้องทำอะไรต่อ

หากยืนยันแล้วว่าเว็บติดมัลแวร์จริง ขั้นตอนเร่งด่วนคือ เปลี่ยนรหัสผ่านทั้งหมด (WordPress, Hosting, FTP, Database), สำรองข้อมูลปัจจุบันไว้, แล้วเริ่มกระบวนการกำจัด ดูรายละเอียดได้ที่ เว็บ WordPress โดนแฮก ต้องทำอะไรก่อน และ วิธีล้างมัลแวร์ WordPress ด้วยตัวเอง

ป้องกันไม่ให้กลับมาติดซ้ำ

การกำจัดมัลแวร์เป็นเพียงครึ่งทาง สิ่งสำคัญกว่าคือการปิดช่องโหว่ไม่ให้ติดซ้ำ:

• อัปเดต WordPress, Plugin และ Theme ให้เป็นเวอร์ชันล่าสุดเสมอ
• ลบ Plugin/Theme เถื่อนและที่ไม่ได้ใช้ออกให้หมด
• ตั้งรหัสผ่านที่แข็งแรงและเปิดใช้ Two-Factor Authentication (2FA)
• จำกัดจำนวนครั้งการ Login และซ่อนหน้า wp-admin (อ่าน วิธีป้องกัน WordPress ไม่ให้โดนแฮก)
• ทำตาม Checklist ความปลอดภัย WordPress ให้ครบ

เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ

คุณควรปรึกษาผู้เชี่ยวชาญทันทีหากเข้าข่ายต่อไปนี้: เว็บติดมัลแวร์ซ้ำหลังจากลบไปแล้ว (มักเกิดจาก Backdoor ที่ฝังลึก), เว็บเป็นร้านค้าหรือสร้างรายได้ที่หยุดไม่ได้, โดน Google Blacklist, หรือคุณไม่มั่นใจว่าจะแยกไฟล์มัลแวร์ออกจากไฟล์ระบบได้ บริการ ล้างไวรัส WordPress ของเราจะสแกน กำจัด Backdoor และปิดช่องโหว่ให้ครบในครั้งเดียว

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. W3Techs. (2026). Usage statistics and market share of WordPress. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://w3techs.com/technologies/details/cm-wordpress
2. Google Search Central. (ม.ป.ป.). Spam policies for Google web search. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developers.google.com/search/docs/essentials/spam-policies
3. Sucuri. (2026). The Security Risks of Using Nulled WordPress Plugins. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://blog.sucuri.net/2026/03/the-security-risks-of-using-nulled-wordpress-plugins.html
4. Patchstack. (2026). State of WordPress Security in 2026. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
5. WordPress.org. (2026). FAQ: My site was hacked. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/documentation/article/faq-my-site-was-hacked/
6. Sucuri. (ม.ป.ป.). Sucuri SiteCheck. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://sitecheck.sucuri.net/
7. VirusTotal. (ม.ป.ป.). VirusTotal. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://www.virustotal.com/
8. WordPress.org. (ม.ป.ป.). Wordfence Security (WordPress.org plugin directory). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/wordfence/