موجز: الاختراق لا يعني دائماً موقعاً متوقفاً أو صفحة سوداء. كثير من الحالات تعمل فيها الواجهة بشكل طبيعي بينما يُضاف خلفها مستخدم جديد أو صفحة مخفية أو باب خلفي. تخيل شخصاً دخل بيتك وغيّر قفلاً واحداً ثم جلس في الغرفة المجاورة: البيت يعمل، لكن الأمان انتهى. هذه تسع علامات تستدعي الفحص، وخمس خطوات تمنع تفاقم المشكلة.

الفكرة باختصار: الاختراق الصامت أخطر من الظاهر

الاختراق الظاهر يسهل اكتشافه: تشويه للواجهة، توقف كامل، أو رسالة من جوجل. الأخطر هو الاختراق الصامت الذي يترك الموقع يعمل ويستخدمه في نشر روابط أو إرسال بريد أو استقبال أوامر. في هذه الحالة لا تبحث عن عطل، بل عن تغيير غير مبرر في سلوك الموقع أو ملفاته.

هناك فرق بين عطل عادي واختراق محتمل:

علامة واحدة ليست دليلاً قاطعاً. لكن اجتماع علامتين أو أكثر، أو ظهور علامة واحدة مع تحذير من جوجل، يستدعي التعامل مع الحالة كاختراق حتى يثبت العكس.

9 علامات تستدعي الفحص

1. إعادة توجيه غريبة أو صفحات لا تعرفها

افتح رابطاً داخلياً من موقعك واختبر أين ينتهي. إذا وجدت إعادة توجيه إلى نطاق آخر، أو صفحات ومقالات لم تنشرها، فهذا مؤشر قوي. افحص إعدادات Nginx أو .htaccess وقالب ووردبريس وقاعدة البيانات. لا تحذف الصفحة فوراً؛ خذ نسخة أولاً، لأنها قد تكشف طريقة الدخول.

2. إعلانات أو روابط مخفية لا تظهر لك

حقن المحتوى المزعج Spam لا يظهر دائماً للزائر. قد يضيف المهاجم كلمات مفتاحية وروابط مخفية تُقرأ في نتائج البحث أو في كاش محرك البحث. افتح الكاش، وافحص القالب، وابحث عن روابط خارجية غريبة في المقالات والصفحات والخيارات. إن ظهرت في نتائج البحث فقد يكون الموقع مفهرساً بمحتوى لا تراه.

3. مستخدمون جدد بصلاحيات مدير

راجع قائمة المستخدمين، خاصة الحسابات التي أنشئت مؤخراً. حساب واحد غير معروف بصلاحيات مدير كامل هو باب عودة محتمل. لا تحذفه قبل معرفة كيف أُنشئ ومتى، لأن الحذف وحده لا يغلق الطريقة التي استُخدمت لإنشائه. راجع أيضاً بريد الحساب وتاريخ آخر دخول.

4. تغيير في الملفات أو الإضافات أو القالب

ابحث عن ملفات جديدة في wp-content/uploads بامتداد .php أو .phtml أو .phar، أو إضافة لم تثبتها، أو تعديل في wp-config.php أو functions.php. مجلد الرفع مخصص للصور والملفات الثابتة، وأي ملف تنفيذي داخله يستحق التحقق. كذلك راجع الملفات الأساسية إذا تغيّر حجمها أو تاريخ تعديلها دون تحديث معروف.

5. تحذير من Google Search Console أو المتصفح

رسالة مثل «تم اختراق هذا الموقع» أو «موقع احتيالي» تعني أن جوجل رصد محتوى خبيثاً أو سلوكاً مضللاً. لا تطلب مراجعة قبل التنظيف الكامل، لأن الطلب يُرفض إذا بقي المحتوى. افحص التقرير الأمني، وحدد الصفحات والنطاقات المرتبطة، ثم نظّف وأعد الفحص قبل طلب المراجعة.

6. ارتفاع مفاجئ في الموارد أو طلبات غريبة

استهلاك معالج مرتفع دون زيادة في الزيارات، أو اتصالات خارجية غير معتادة، أو محاولات دخول متكررة إلى لوحة التحكم. قد يكون الخادم يشارك في هجوم أو تعدين أو إرسال بريد. اقرأ سجلات الوصول والعمليات قبل إعادة التشغيل، ولا تفترض أن السبب دائماً إضافة ثقيلة.

7. رسائل تصيد أو بريد مزعج من نطاقك

إذا وصلت رسائل لعملائك من بريدك أو من نموذج التواصل، فقد يُستخدم موقعك لإرسال بريد. افحص سجلات البريد، والإضافات التي ترسل رسائل، والحسابات التي تملك صلاحية إدارة البريد. هذه الحالة تضر بالسمعة وقد تؤدي إلى حجب النطاق، حتى لو كان الموقع يفتح بشكل طبيعي.

8. تراجع مفاجئ في الظهور أو الزيارات

تراجع الزيارات قد يكون تحديثاً في محرك البحث، لكنه قد يكون أيضاً بسبب تحذير أمني أو صفحات مخفية أو إعادة توجيه. اربط التراجع بتاريخ النشر وتقرير Search Console. إذا ظهرت صفحات غريبة أو اختفت صفحات حقيقية، فالسبب ليس تحسين محركات البحث بل سلامة الموقع.

9. روابط خارجية أو محتوى غير معروف في قاعدة البيانات

روابط غريبة في جدول الخيارات أو في oembed_cache أو تعليقات ومقالات غير منشورة. لا تعدّل قاعدة البيانات مباشرة دون نسخة، ولا تحذف صفوفاً لا تعرف وظيفتها. افحص أولاً، وحدد ما إذا كان المحتوى معروفاً أم أضافه طرف آخر.

تحذير

لا تعتمد على فحص واحد. برامج الفحص قد تجد ملفاً معروفاً وتفوّت باباً خلفياً مخصصاً. اجمع بين مراجعة المستخدمين والملفات وقاعدة البيانات والسجلات، واقرأ النتيجة قبل الحذف.

أول 5 خطوات بعد الاشتباه

1. لا تحذف شيئاً، وخذ نسخة من الحالة الحالية

قبل أي تنظيف، خذ نسخة من الملفات وقاعدة البيانات. سجّل ما لاحظته ومتى بدأ، وأي تحديث أو نشر سبق المشكلة. النسخة الحالية ليست للحفاظ على الاختراق، بل لتحليل السبب والرجوع إليها إذا فشل التنظيف. الحذف العشوائي يمحو الأدلة ويجعل المقارنة مستحيلة.

2. غيّر بيانات الدخول من جهاز نظيف

غيّر كلمة مرور مدير ووردبريس، ولوحة الاستضافة، وSSH أو FTP، وقاعدة البيانات، وDNS أو Cloudflare. فعّل المصادقة الثنائية حيث تتوفر. لا تفعل ذلك من جهاز تشك في إصابته، لأن تغيير كلمة المرور من جهاز مخترق قد يسلّمها للمهاجم مرة أخرى. راجع أيضاً مفاتيح الأمان في wp-config.php وجلسات الدخول النشطة.

3. اعزل الموقع عن الزوار مؤقتاً إذا كان الحقن نشطاً

إذا كان الموقع يحوّل الزوار أو يرسل بريداً أو يشارك في هجوم، فالأفضل عزله مؤقتاً بدل إبقائه في الخدمة. استخدم صفحة صيانة تعيد رمز 503، أو احجب الحركة على مستوى Cloudflare، ولا تعرض رسائل PHP للزوار. إذا كان الموقع متجراً، أبلّغ العميل أو صاحب الموقع قبل الإيقاف ووضّح المدة المتوقعة.

4. افحص المستخدمين والملفات وقاعدة البيانات

من مجلد ووردبريس، ابدأ بقائمة المديرين والإضافات النشطة، ثم ابحث عن ملفات تنفيذية داخل مجلد الرفع:

bash
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp plugin list --status=active
find wp-content/uploads -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \) -print

لا تحذف كل ما يظهر. افحص تاريخ الملف ومحتواه وعلاقته بإضافة معروفة. بعد ذلك راجع قاعدة البيانات بحثاً عن روابط أو نصوص غير معروفة، وابحث في السجلات عن طلبات رفع أو تنفيذ غريبة. إذا كان الموقع يعرض خطأ 500 أو 502 متكرراً، فراجع دليل الفرق بين 500 و502 قبل أن تفترض أن السبب أمني.

5. نظّف أو أعد البناء، ثم راقب واطلب المراجعة

التنظيف الجيد لا يعني حذف ملف واحد. استخدم نسخة نظيفة من ملفات ووردبريس الأساسية، واحتفظ فقط بالملفات المرفوعة الموثوقة، وافحص القالب والإضافات وقاعدة البيانات. إذا كان الموقع متوقفاً أثناء ذلك، ابدأ بـقائمة فحص التوقف في 10 دقائق لتفصل بين عطل الخدمة وأثر التنظيف.

بعد عودة الموقع، راقب السجلات والملفات 72 ساعة على الأقل، وتأكد من عدم عودة الحسابات أو الصفحات. إذا كان هناك تحذير من جوجل، اطلب المراجعة بعد التنظيف الكامل. وإذا كان التنظيف معقداً أو تكرر الاختراق، فـإنقاذ المواقع المخترقة يبدأ بالعزل والتنظيف قبل أي نقل أو استعادة.

خطر

لا تستعد نسخة احتياطية قديمة فوق موقع مخترق دون فحصها. وإذا كان لديك متجر أو بيانات عملاء أو مدفوعات، فلا تتعامل مع الحالة كتجربة تعلم؛ اعزل الموقع واستعن بمتخصص قبل أن تتوسع البيانات المسربة.

متى تتولى الأمر ومتى تستعين بخبير؟

الحالة من يتولى السبب
موقع صغير، بلا مدفوعات أو بيانات عملاء، والمشكلة في إضافة قديمة يمكنك البدء بالفحص المخاطر محدودة، لكن توقف إن ظهر باب خلفي أو حقن قاعدة بيانات
مستخدمون غير معروفين أو ملفات تنفيذية في الرفع متخصص احتمال باب خلفي متعدد الطبقات
حقن في قاعدة البيانات أو تحذير من جوجل متخصص يحتاج تنظيفاً موثقاً ومراجعة بعد التنظيف
متجر أو عضويات أو بيانات دفع متخصص فوراً خصوصية العملاء والالتزامات القانونية
تكرار الاختراق بعد التنظيف مراجعة العزل والصلاحيات السبب غالباً أوسع من ملف واحد

إذا كنت تريد رؤية كيف يُنفّذ التنظيف الكامل على موقع حقيقي، فـدراسة حالة اختراق ووردبريس توضح العزل، وتنظيف قاعدة البيانات، وإعادة بناء الملفات، وتأمين Nginx وCloudflare. وإذا كان لديك كود مخصص أو قالب معدّل بشدة، فقد يحتاج مبرمج ووردبريس إلى فحص التعارضات قبل إعادة البناء.

كيف تمنع التكرار؟

  • حدّث ووردبريس والإضافات والقالب، واحذف الإضافات والثيمات غير المستخدمة بدل إبقائها معطلة.
  • فعّل المصادقة الثنائية، واستخدم كلمات مرور مختلفة، وطبّق الحد الأدنى من الصلاحيات.
  • امنع تنفيذ PHP داخل مجلد الرفع، وأغلق xmlrpc.php إن لم تستخدمه، وقيّد الوصول إلى wp-login.php.
  • اضبط صلاحيات الملفات على 644 والمجلدات على 755، ولا تستخدم 777.
  • افصل كل موقع في مستخدم نظام ومجمّع PHP-FPM خاص إذا كان الخادم يستضيف أكثر من موقع.
  • احتفظ بنسخ احتياطية خارج الخادم، واختبر الاستعادة فعلياً لا إنشاء النسخة فقط.
  • راقب تغيّر الملفات وسجلات الدخول، وراجع المستخدمين دورياً.

صيانة وحماية مستمرة تغطي التحديثات والنسخ الاحتياطي والمراقبة، لكنها لا تغني عن العزل الصحيح عند وقوع اختراق. وإذا كان الموقع يعمل لكنه يعاني من بطء أو أخطاء متكررة بعد التنظيف، فـإصلاح المواقع المتوقفة يعالج الخدمة، بينما يبقى إنقاذ المواقع المخترقة مساراً منفصلاً للتنظيف الأمني.

تحتاج تنفيذ هذا عملياً؟

راسلنا على واتساب وسنحوّل هذا المقال إلى خطة عمل واضحة لموقعك.

تواصل عبر واتساب

الخلاصة: افترض الاختراق حتى تثبت السلامة

  • علامة واحدة غير مألوفة: افحص، وسجّل، ولا تحذف.
  • علامتان أو أكثر، أو تحذير من جوجل: اعزل وخذ نسخة وتعامل مع الحالة كاختراق.
  • بيانات عملاء أو مدفوعات: لا تنتظر، استعن بمتخصص.
  • بعد التنظيف: راقب 72 ساعة، حدّث بيانات الدخول، واطلب مراجعة جوجل إن لزم.

الموقع الذي يعمل ليس بالضرورة موقعاً سليماً. الفحص الهادئ والنسخة الاحتياطية أهم من سرعة الحذف، لأن إغلاق باب واحد لا يكفي إذا بقي باب خلفي مفتوحاً.