Quét mã độc WordPress: 3 lớp kiểm tra và cách đọc kết quả quét

Một lượt quét bằng plugin báo “không phát hiện vấn đề” chưa có nghĩa website sạch. Nhiều loại mã độc chỉ hiện nội dung spam cho Googlebot, nằm trong database thay vì file, hoặc tắt luôn plugin quét. Bài này hướng dẫn quét mã độc WordPress theo ba lớp và cách đọc kết quả cho đúng.

Khi nào cần quét ngay?

• Khách báo bấm từ Google vào website thì bị chuyển sang trang cá cược, nhưng bạn tự gõ địa chỉ thì vào bình thường.
• Tìm site:tenmien.com trên Google thấy tiêu đề lạ: tiếng Nhật, tên thuốc, cá cược, hàng hiệu giá rẻ. Trường hợp tiêu đề cá cược đến từ trang tìm kiếm nội bộ hoặc tên miền phụ thì không quét ra mã độc, xem website bị chèn link cờ bạc: xử lý thế nào.
• Search Console báo “Vấn đề bảo mật” hoặc số trang được lập chỉ mục tăng vọt mà bạn không đăng gì.
• Xuất hiện tài khoản quản trị không ai biết, hoặc plugin lạ không có trong danh sách bạn cài.
• Hosting báo vượt tài nguyên, email từ tên miền bị đánh dấu spam hàng loạt.
• Website từng dùng theme hoặc plugin bản “nulled” tải từ nguồn không chính thức.

Không có dấu hiệu nào thì vẫn nên quét định kỳ, vì loại mã độc giấu kỹ nhất là loại không gây triệu chứng cho tới khi Google gắn cảnh báo.

Lớp 1: quét từ bên ngoài, không cần đăng nhập

Mẹo kiểm tra chuyển hướng: mở website trên điện thoại dùng 4G, ở chế độ ẩn danh, bằng cách bấm từ kết quả tìm kiếm Google. Nhiều mã độc chỉ chuyển hướng khách đến từ Google, đến từ di động, và chỉ một lần mỗi người, nên quản trị viên đã đăng nhập không bao giờ thấy.

Lớp 2: quét bên trong WordPress

Plugin quét bảo mật như Wordfence so sánh file lõi, theme và plugin miễn phí với bản gốc trên WordPress.org, đối chiếu mẫu mã độc đã biết và kiểm tra tài khoản. Hai giới hạn cần biết: bản miễn phí của Wordfence nhận quy tắc tường lửa và mẫu mã độc mới chậm hơn bản trả phí khoảng 30 ngày; và plugin chạy bên trong WordPress nên mã độc đã chiếm quyền có thể vô hiệu hóa hoặc né nó.

So khớp file với bản gốc bằng WP-CLI (nếu hosting có SSH). Đây là cách nhanh nhất để biết file lõi có bị sửa không:

• wp core verify-checksums: báo file lõi bị sửa và file lạ nằm trong thư mục lõi.
• wp plugin verify-checksums --all: so plugin tải từ WordPress.org với bản gốc. Plugin trả phí không có dữ liệu đối chiếu, phải so với gói tải từ tài khoản đã mua.
• wp user list --role=administrator: liệt kê toàn bộ quản trị viên để rà tài khoản lạ.

Không có SSH thì dùng tính năng so sánh file của plugin quét, hoặc tải bộ cài WordPress đúng phiên bản về so bằng phần mềm so sánh thư mục.

Lớp 3: quét trên máy chủ và trong database

Nhiều hosting cPanel, DirectAdmin có sẵn trình quét như ImunifyAV hoặc Imunify360. Ưu điểm là quét được cả file mà WordPress không tải tới, như script đặt trong thư mục ảnh hoặc ngoài thư mục website. Kết quả nên được đọc cùng các kiểm tra thủ công dưới đây.

• File PHP trong wp-content/uploads: thư mục này chỉ nên chứa ảnh, tài liệu. Một file .php nằm ở đây hầu như luôn là cửa hậu.
• File mới sửa gần đây: lọc file .php được sửa trong 7–30 ngày qua, đối chiếu với lần cập nhật plugin gần nhất. File sửa vào giờ không ai làm việc là đầu mối tốt.
• File có tên giả dạng: tên gần giống file lõi (wp-confg.php, wp-load-cache.php), file ẩn bắt đầu bằng dấu chấm, file trong thư mục mu-plugins mà bạn không cài.
• Đoạn mã bị làm rối: chuỗi dài vô nghĩa đi cùng eval, base64_decode, gzinflate, str_rot13. Plugin hợp lệ đôi khi cũng dùng các hàm này, nên cần xem file nằm ở đâu và có khớp bản gốc không.
• .htaccess và wp-config.php: quy tắc chuyển hướng theo trình duyệt hoặc nguồn truy cập, dòng auto_prepend_file lạ.
• Database: bảng options có giá trị siteurl, home bị đổi; danh sách plugin kích hoạt có tên lạ; bài viết, trang, widget chứa thẻ <script> hoặc <iframe> trỏ ra tên miền lạ; tác vụ cron lạ.

Đọc kết quả quét thế nào cho đúng?

Đừng xóa file ngay khi thấy cảnh báo. Xóa nhầm file của plugin có thể làm website lỗi; xóa đúng file mã độc nhưng chưa tìm ra đường vào thì vài ngày sau lại bị. Trước khi xóa, sao lưu nguyên trạng (kể cả bản đang nhiễm) để còn đối chiếu.

Phát hiện mã độc rồi thì làm gì?

Thứ tự xử lý khi đã xác nhận bị xâm nhập: cách ly, đổi toàn bộ mật khẩu và khóa bí mật, làm sạch file và database, vá lỗ hổng đã cho kẻ tấn công vào, rồi mới gửi yêu cầu Google xem xét lại. Các bước chi tiết, kể cả nghĩa vụ khi lộ dữ liệu khách hàng, nằm trong bài website bị hack phải làm gì.

Website có backlink spam hàng loạt, bị chuyển hướng hoặc đã có cảnh báo đỏ của Google thường cần người làm kỹ thuật. Dịch vụ xử lý mã độc WordPress của Marketing SEO Top có gói cơ bản 1,5 triệu (quét, gỡ mã độc, xóa chuyển hướng) và gói đầy đủ 3 triệu (thêm dọn trang spam, khôi phục và gia cố); trường hợp có cửa hậu nhiều lớp được báo giá sau khi kiểm tra.

Lịch quét gợi ý để phát hiện sớm

Quét chỉ phát hiện; giảm khả năng bị nhiễm nằm ở việc cập nhật đều và không dùng phần mềm lậu. Thứ tự các việc bảo mật nên làm trước có trong bài cách bảo mật website tránh bị hack, và quy trình cập nhật hằng tháng ở bài cập nhật WordPress an toàn. Nếu muốn có người làm định kỳ, xem bảo trì WordPress.

Nguồn tra cứu tháng 10/2026: tài liệu Search Console về báo cáo Vấn đề bảo mật và công cụ Kiểm tra URL (support.google.com/webmasters); tài liệu lệnh checksum của WP-CLI (developer.wordpress.org/cli); trang so sánh bản miễn phí và trả phí của Wordfence.

Câu hỏi thường gặp