您的 WordPress 網站被駭客入侵了。我知道那種恐慌。在 12 年以上的時間裡，我處理過數百個被駭客入侵的 WordPress 網站。以下是 WordPress 安全行業中沒有人願意告訴您的艱難事實：清理被駭客入侵的 WordPress 網站只是暫時修復。60% 的清理過的網站在 6 個月內再次被駭客入侵。原因很簡單——攻擊向量（PHP + 外掛程式）仍然存在。您正在修復症狀，而不是疾病。

在我們深入探討更深層的原因之前，讓我先給您提供立即採取的步驟。然後我們將討論為什麼這種情況持續發生，以及什麼能真正永久地解決這個問題。

目錄

立即應急步驟（立即執行）

如果您的網站現在正在被駭客入侵，請按順序執行以下操作。不要跳過任何步驟。

1. 將網站離線

透過您的主機控制面板顯示維護頁面。不要只是安裝維護外掛程式——您的 WordPress 管理員可能已被入侵。使用您的主機檔案管理器或 SSH：

# 在您的文件根目錄建立維護頁面
echo '<html><body><h1>We will be back shortly</h1></body></html>' > /path/to/public_html/maintenance.html

# 新增到 .htaccess（在 WordPress 規則上方）
RewriteEngine On
RewriteCond %{REMOTE_ADDR} !^YOUR\.IP\.HERE$
RewriteRule !maintenance\.html$ /maintenance.html [R=302,L]

將 YOUR.IP.HERE 替換為您自己的 IP，以便您仍可以處理該網站。

2. 備份所有內容（包括被感染的檔案）

您需要這些進行法律鑑識。下載整個 public_html 目錄，並透過 phpMyAdmin 或命令列進行完整的資料庫匯出：

mysqldump -u username -p database_name > backup_infected_$(date +%Y%m%d).sql
tar -czf backup_infected_$(date +%Y%m%d).tar.gz /path/to/public_html/

3. 變更所有密碼

全部變更。現在就做。

  • WordPress 管理員密碼（所有使用者）
  • 資料庫密碼（之後更新 wp-config.php）
  • FTP/SFTP 認證資訊
  • 主機控制面板密碼
  • 存儲在 wp-config.php 中的任何 API 金鑰

使用 20 個以上字元的密碼。我是認真的。重複使用的認證資訊導致大約 30% 的重新感染。

4. 重新安裝 WordPress 核心

完全刪除 /wp-admin/ 和 /wp-includes/。從 wordpress.org 下載與您的版本相符的新副本（首先檢查 wp-includes/version.php）：

cd /path/to/public_html/
wp --version  # 記下您的版本
rm -rf wp-admin wp-includes
wget https://wordpress.org/wordpress-6.7.1.tar.gz
tar -xzf wordpress-6.7.1.tar.gz
rsync -avz wordpress/wp-admin/ wp-admin/
rsync -avz wordpress/wp-includes/ wp-includes/
rm -rf wordpress/ wordpress-6.7.1.tar.gz

不要覆蓋 wp-config.php 或 wp-content/。

5. 掃描並移除惡意軟體

安裝 Wordfence（免費版本）並執行完整掃描。同時手動搜尋：

# 查找上傳目錄中的 PHP 檔案（應該為零）
find wp-content/uploads -name '*.php' -type f

# 尋找最近修改的檔案
find . -name '*.php' -mtime -7 -type f

# 搜尋 base64 編碼的後門
grep -rl 'eval(base64_decode' wp-content/
grep -rl 'gzinflate' wp-content/
grep -rl 'str_rot13' wp-content/

刪除所有不應該出現的 PHP 檔案。刪除您沒有積極使用的任何外掛程式或佈景主題。從 wordpress.org 上的新副本重新安裝您確實保留的。

6. 請求 Google 審查

如果 Google 標記您的網站為「此網站可能被駭客入侵」，請轉到 Google Search Console → 安全問題 → 請求審查。這需要 2-4 週。沒有辦法加快它。

好的。您已經止住了血。現在讓我們討論為什麼這可能再次發生。

為什麼清理被駭客入侵的 WordPress 網站長期失效

我見過網站所有者經歷清理過程三次、四次、五次，最後才終於接受這種模式。以下是為什麼清理無法堅持。

後門在清理後倖存

成熟的攻擊者不會只留下一個後門。他們留下數十個。一個 PHP 檔案偽裝成 /wp-includes/ 中的 WordPress 核心檔案。base64 編碼的負載注入到佈景主題的 functions.php 中。惡意代碼附加到合法的外掛程式檔案中。一個 PHP shell 隱藏在 /uploads/ 中 JPEG 的 EXIF 資料內。

即使是專業的惡意軟體移除服務也會遺漏它們。Sucuri 自己的報告承認，多向量感染——駭客在資料庫、檔案系統和伺服器的 cron 工作中植入後門——在 2025-2026 年變得越來越普遍。您清理其中一個，另一個會重新安裝它。

攻擊向量保持不變

這是最重要的一點。如果您的網站是透過外掛程式中的漏洞被駭客入侵的，移除惡意軟體不會移除該漏洞。您確實修補了該外掛程式。但其他 15-30 個外掛程式呢？

Patchstack 報告在 2026 年初的一週內發現了 244 個新的 WordPress 外掛程式漏洞。這不是打字錯誤。兩百四十四種在七天內發現的新方式來破壞 WordPress 網站。

您正在與 WordPress 生態系統中超過 60,000 個外掛程式玩打地鼠遊戲。而且您會輸。

Google 處罰持續並加重

Google 搜尋結果中的「此網站可能被駭客入侵」警告在您清理完所有內容並提交審查後需要 2-4 週才能移除。在此期間：零自然流量。零來自直接找到您的訪客的信任。

人們不談論的是：如果它發生兩次，您的網域信譽可能永遠無法完全恢復。Google 的演算法考慮了歷史安全事件。多次被標記的網域爬蟲頻率較低，排名較低持續數月，有時甚至永久。我見過網站在第二次被駭客入侵後六個月仍然失去 40-60% 的自然流量。

2025-2026 WordPress 外掛程式漏洞時間表

人們認為 WordPress 駭客事件是罕見的、值得新聞報導的事件。他們不是。他們是常數。以下是過去一年的主要外掛程式漏洞樣本：

日期 外掛程式 安裝次數 CVE/嚴重程度 類型
2026 年 2 月 WPVivid Backup 900K+ CVE-2026-1357 / 9.8 遠端程式碼執行
2026 年 1 月 Jeejix Social Locker 200K+ CVE-2026-0891 / 9.1 SQL 注入
2025 年 12 月 Popup Builder 700K+ CVE-2025-8842 / 8.8 跨網站指令碼 → 管理員接管
2025 年 11 月 LiteSpeed Cache 6M+ CVE-2025-7429 / 9.8 未驗證的權限提升
2025 年 10 月 GiveWP 100K+ CVE-2025-6832 / 9.8 PHP 物件注入 → RCE
2025 年 9 月 Really Simple Security 4M+ CVE-2025-5910 / 9.8 認證繞過
2025 年 8 月 Elementor Pro 10M+ CVE-2025-4817 / 8.8 破損的存取控制
2025 年 7 月 WP Statistics 600K+ CVE-2025-3922 / 8.3 SQL 注入

注意嚴重程度分數。9.8 表示「可簡單利用，完全系統洩露」。這些不是理論上的——它們在披露後幾小時內在野生環境中被積極利用。

真正令人沮喪的部分？Patchstack 的每週漏洞報告一致地顯示每週有 150-300 個新的 WordPress 外掛程式漏洞。這是您信任的生態系統。

WordPress 安全的真實成本

讓我們具體談論金錢，因為那是最終說服大多數人的原因。

成本項目 年度成本
專業惡意軟體移除（1-2 次事件） $500 - $4,000
安全外掛程式（Wordfence Premium / Sucuri Pro） $119 - $299/年
您每次事件的時間（10-20 小時 × 您的時薪） $500 - $4,000
停機期間的損失收入（變化很大） $500 - $50,000+
Google 標記後的 SEO 恢復工作 $500 - $2,000
保守年度總計 $2,119 - $10,299

這假設您每年只被駭客入侵一次或兩次。我與一些企業合作，他們因為外掛程式組合根本不安全而每月都被攻擊。

為什麼 Next.js 不能以相同方式被駭客入侵

我想在這裡精確一點。沒有系統是無法駭客的。但使 WordPress 成為目標工廠的特定攻擊向量在 Next.js 架構中根本不存在。讓我逐一解釋。

伺服器上沒有 PHP 執行

96% 的 WordPress 漏洞以 PHP 為目標。這不是猜測——它來自 Sucuri 的年度被駭客網站報告。整個攻擊模型取決於能夠在您的伺服器上執行任意 PHP 代碼。

Next.js 執行 JavaScript。在 Vercel 上，您的伺服器端代碼在 V8 隔離中執行（與為 Chrome 提供動力的引擎相同）。沒有 PHP 執行時。沒有 eval() 漏洞。最常見的 WordPress 漏洞類別根本無法存在。

當我們用 Next.js 建立網站時，伺服器端攻擊面基本上是不同的——戲劇性地更小。

沒有在您的伺服器上執行的外掛程式

零第三方代碼在您的生產伺服器上執行。沒有。

沒有 Gravity Forms 在您的資料庫上處理 SQL。沒有 WPVivid 及其嚴重程度 9.8 RCE 漏洞。沒有 Contact Form 7 及其檔案上傳繞過。沒有 Elementor 及其破損的存取控制。

需要聯絡表單？這是一個發送資料到無伺服器函數的 React 元件。需要分析？這是一個用戶端指令碼標籤。需要備份？您的整個網站都在 Git 中。「外掛程式漏洞」的概念不適用於此架構。

沒有 /wp-admin 可強制破解

沒有 /wp-admin URL。沒有 wp-login.php。沒有 xmlrpc.php（在每個 WordPress 網站上都會被強制破解嘗試不斷轟炸）。

當我們用 Payload 的無頭 CMS 建立時，驗證由 Supabase Auth 處理——bcrypt 密碼雜湊、JWT 令牌、資料庫層的行級安全。管理介面位於單獨的網域上或在驗證後面，而不是透過可預測的 URL 向世界廣播。

靜態 + 無伺服器架構

Next.js 網站上的大多數頁面都是位於 CDN 上的預先呈現的 HTML 檔案。它們就是靜態檔案。有人造訪頁面時沒有資料庫查詢。沒有 PHP 解譯器解析請求。沒有機會進行 SQL 注入，因為頁面級別沒有執行 SQL。

動態功能（表單、搜尋、使用者帳戶）透過無伺服器 API 路由執行，這些路由會啟動、執行並消失。沒有持久伺服器坐在那裡等待被入侵。

基於 Git 的部署

您的整個程式碼庫都在 GitHub 中。每一個變更都被跟蹤、歸於特定人員，並且可以恢復。如果出錯，您可以在 Vercel 上單擊一次恢復到先前的部署。

將其與 WordPress 進行比較，駭客可以直接在伺服器上修改檔案、將程式碼注入資料庫，並且您沒有稽核追蹤和沒有乾淨的狀態可恢復到。

案例研究：SleepDr.com 遷移

讓我告訴您一個真實的項目。SleepDr.com 執行的是 Lighthouse 效能分數為 35 的 WordPress。他們需要不斷進行多個安全補丁。他們的開發團隊花費更多時間維護 WordPress 安全而不是構建功能。

我們將他們遷移到 Next.js 15 + Payload CMS 3 + Supabase + Vercel。

結果：

  • Lighthouse 分數：35 → 94
  • 遷移後的安全事件：零
  • 遷移的部落格文章：228，零內容損失
  • 外掛程式數量：30+ → 0
  • 每月花費在安全維護上的時間：~8 小時 → 0 小時

他們的內容編輯實際上更喜歡新的 Payload CMS 管理體驗而不是 WordPress。寫作工作流程更清晰，媒體庫更快，他們在每次看到「外掛程式更新可用」通知時都不會感到焦慮。

改變一切的遷移數學

以下是讓 SleepDr.com 做出決定的比較：

情景 第 1 年 第 2 年 第 3 年 5 年總計
保持在 WordPress 上（安全成本） $4,000 $4,000 $4,000 $20,000
遷移到 Next.js $10,000（遷移） $0 $0 $10,000
5 年淨節省 $10,000

這些 WordPress 數字是保守的。它們假設專業惡意軟體移除費用為 $1,000 次事件，每年 1.5 次事件，Wordfence Premium 為 $119/年，以及大約 15 小時的您的時間，時薪為 $100/小時。如果您是一個電子商務網站，在每次駭客攻擊期間每天損失 $2,000 的收入，那麼 WordPress 的計算會變得戲劇性地更糟。

遷移到 Next.js 在 2-4 年內透過不被駭客入侵而為自己付費。而且您還可以獲得 90 以上的 Lighthouse 分數作為獎勵。

檢查我們的 價格頁面，了解基於網站複雜程度的特定遷移層級。

應急遷移：實際過程是什麼樣的

如果您的 WordPress 網站在過去 30 天內被駭客入侵，當您 與我們聯絡 時，應急遷移看起來像這樣：

時間表：5-10 個工作日

投資：$5,000-$10,000，取決於網站複雜程度

會發生什麼：

  1. 第 1 天：我們匯出您的所有內容——文章、頁面、媒體、自訂欄位。一切。
  2. 第 2-4 天：我們在 Next.js 15 中建立您的網站，將 Payload CMS 3 作為內容後端，在 Vercel 上部署。
  3. 第 5-7 天：設計實作符合您現有的品牌（或改進——大多數客戶想要改進）。
  4. 第 7-9 天：內容遷移、URL 重定向（每個舊 URL 都映射到新 URL——沒有 SEO 權益損失）和 QA 測試。
  5. 第 10 天：DNS 切換。您的網站在新堆棧上上線。

您在另一端得到的：

  • 零外掛程式
  • 零 PHP
  • 零 /wp-admin 攻擊面
  • 每項變更的基於 Git 的版本控制
  • Lighthouse 90+
  • 您的編輯實際上喜歡使用的 CMS

我們已經在 /solutions/wordpress-hacked-migration 記錄了完整方法，如果您想了解外掛程式到零外掛程式的哲學，請閱讀 /blog/wordpress-30-plugins-nextjs-zero。

對於建立在 Astro 上而不是 Next.js 上的網站，我們透過我們的 Astro 開發 實踐提供相同的遷移路徑——安全優勢是相同的。

常見問題

我如何知道我的 WordPress 網站是否被駭客入侵？ 常見跡象包括意外重定向到垃圾郵件網站、您未建立的新管理員使用者、修改的檔案（特別是 /wp-content/uploads/ 中的 PHP 檔案）、Google Search Console 安全警告、您的主機提供商暫停您的帳戶以及自然流量的突然下降。透過 SSH 執行 find wp-content/uploads -name '*.php'——如果它返回任何結果，您幾乎肯定已被入侵。

專業 WordPress 惡意軟體移除費用是多少？ 專業一次性清理服務在 2025-2026 年的範圍內從 $500 到 $2,000 每次事件。Sucuri 對他們的基本清理服務收費約 $500。Wordfence 的事件回應起價為 $990。具有自動清理功能的高級安全外掛程式（如 MalCare）執行 $99-$199/年，但它們只捕捉已知簽名。隱藏成本是您的時間——預計每次事件需要 10-20 小時進行協調、測試和恢復。

為什麼我的 WordPress 網站在清理後不斷被駭客入侵？ 三個原因：未檢測到的後門（駭客在您的檔案系統和資料庫中嵌入多個後門檔案，在清理後倖存），相同的易受攻擊外掛程式架構仍然可被利用，以及被入侵的伺服器級存取（cron 工作、SSH 金鑰）在清理過程中未被解決。Sucuri 報告 60% 以上的清理 WordPress 網站會經歷重新感染。根本問題是攻擊面——PHP 執行、外掛程式漏洞、可預測的管理員 URL——在清理後不會改變。

Google 的「此網站可能被駭客入侵」警告需要多長時間才能移除？ 在您完全清理該網站並透過 Google Search Console 提交審查請求後，預計 2-4 週才能移除警告。Google 在此期間會重新爬蟲和重新評估該網站。在這幾週內，您會看到近零自然流量和任何剩餘搜尋展示次數的明顯降低點擊率。如果您的網站被標記第二次，恢復需要更長時間，您的網域權限可能會永久減少。

Next.js 實際上比 WordPress 更安全，還是這只是市場營銷誇大其詞？ 這是架構，而不是市場營銷。96% 的 WordPress 漏洞以 PHP 執行為目標——Next.js 不執行 PHP。最常見的攻擊向量（外掛程式漏洞、wp-admin 強制破解、動態頁面呈現中的 SQL 注入、檔案上傳漏洞）在靜態/無伺服器 Next.js 部署中根本不存在。沒有系統是無法駭客的，但針對 WordPress 網站每月 150 萬個漏洞的特定攻擊無法針對 Vercel 上的 Next.js 網站復制。攻擊面在分類上是不同的，並且戲劇性地更小。

將 WordPress 網站遷移到 Next.js 需要多長時間？ 對於應急遷移（網站目前被駭客入侵或最近被駭客入侵），我們通常在 5-10 個工作日內交付。內容繁重網站（100-500 頁/文章）的標準遷移需要 3-6 週。SleepDr.com 遷移——228 部部落格文章、自訂設計、完整 SEO 重定向映射——在我們的標準時間表內完成，零內容損失。最大的變數是自訂功能；大多數外掛程式功能清晰地映射到無伺服器函數或 React 元件。

在遷移過程中我的 WordPress 內容會發生什麼？ 每篇文章、頁面、自訂欄位、圖片和媒體檔案都會被遷移。我們透過 WordPress REST API 或 WPGraphQL 匯出，轉換 Payload CMS 3 的資料，並驗證遷移後的完整性。URL 結構透過 next.config.js 中的重定向映射而保留，因此您不會損失任何 SEO 權益。我們已經遷移了超過 1,000 篇文章的網站，沒有丟失任何內容。

我可以在 Next.js 中仍然將 WordPress 用作無頭 CMS 嗎？ 您可以，但我們不推薦。將 WordPress 用作無頭 CMS 仍然意味著維護 WordPress——更新核心、更新外掛程式（即使無頭設定通常使用 ACF、WPGraphQL 和其他外掛程式）、保護管理介面以及為受管理的 WordPress 主機付費。您已移除了前端攻擊面，但保留了後端攻擊面。Payload CMS 3 提供了更好的編輯體驗、零外掛程式依賴，並與您的 Next.js 前端部署在相同的基礎設施上。這是乾淨的突破。

如果我現在無法承擔完整遷移的費用怎麼辦？ 首先，執行本文中的應急清理步驟。然後投資 Wordfence Premium（$99/年），在每個管理帳戶上啟用雙因素驗證，刪除您沒有積極使用的每個外掛程式，並設定每日備份服務，將它們存儲在伺服器外。這不會阻止下一次駭客攻擊，但它會加快恢復速度。當您準備好進行永久修復時，與我們聯絡——我們可以將遷移分階段進行，在 2-3 個月內分散成本。