2026 WordPress 被駭怎麼辦？緊急處理 SOP + 安全防護完整教學

網站出問題急著修？加 LINE 馬上處理。如果你想先了解狀況，這篇教你判斷和處理。

發現網站被駭的那一刻，心跳加速、手腳冰冷。冷靜，跟著這篇的 SOP 走，大部分情況都能解決。

我們處理過上百個被駭的 WordPress 網站。最常見的情況是首頁被植入賭博或色情網站的轉址。聽起來很恐怖，但清除惡意程式加上補好漏洞，通常 2-4 小時就能恢復。

重點摘要： WordPress 被駭後的 8 步驟 SOP：更改密碼 → 維護模式 → 掃描惡意程式 → 清除感染檔案 → 更新所有軟體 → 刪除可疑帳號 → 更換安全金鑰 → 提交 Google 重新審查。根據 Sucuri 2023 年的被駭網站報告，39.1% 的 CMS 在感染當下是過期版本（Sucuri, 2023）。

WordPress 被駭的 7 個常見徵兆

根據 Patchstack 的 2026 年白皮書，2025 年共發現 11,334 個 WordPress 漏洞，年增 42%，其中 91% 來自外掛（Patchstack, 2026）。你的網站可能已經被駭了但你不知道。檢查一下有沒有這些徵兆。

1. 網站被轉址到陌生網頁 — 訪客打開你的網站卻被跳轉到賭博或色情網站
2. 後台出現不認識的管理員帳號 — 駭客建立自己的管理員帳號來維持存取權
3. Google 搜尋結果出現日文或色情標題 — 日本 SEO 垃圾攻擊（Japanese SEO Spam）
4. 速度突然變慢 — 可能被植入挖礦程式，佔用主機資源
5. 瀏覽器出現惡意程式警告 — Google Safe Browsing 偵測到威脅
6. 主機商寄來資源超用通知 — 惡意程式大量消耗 CPU 和流量
7. 網站檔案被新增或修改 — 核心檔案出現不認識的 PHP 檔案

看到任何一個，馬上處理。拖越久損失越大。

WordPress 被駭緊急處理 SOP（8 步驟）

Step 1：立即更改所有密碼

WordPress 後台密碼、主機控制台密碼、FTP 密碼、資料庫密碼——全部改掉。用強密碼，至少 12 字元混合大小寫數字和符號。

Step 2：設為維護模式

防止訪客看到被駭的頁面，也防止惡意程式繼續傳播。

Step 3：用工具掃描找出惡意程式

安裝 Wordfence 外掛做完整掃描。它會找出：被修改的核心檔案、可疑的 PHP 檔案、已知的惡意程式碼。搭配線上掃描工具如 Sucuri SiteCheck 交叉確認。

Step 4：清除惡意檔案

把 Wordfence 回報的惡意檔案刪除或修復。如果核心檔案被改過，用 WordPress 官方的最新版本覆蓋（不要碰 wp-config.php 和 wp-content）。

Step 5：更新外掛、主題和核心

把所有東西更新到最新版本。漏洞就是從舊版本進來的。

Step 6：刪除可疑使用者帳號

後台 → 使用者，刪除所有不認識的帳號。特別注意管理員權限的帳號。

Step 7：更換 WordPress 安全金鑰

在 wp-config.php 裡有一組安全金鑰。更換它們會讓所有已登入的 session 失效，踢掉駭客可能還在使用的 session。到 WordPress API 生成新的金鑰。

Step 8：提交 Google 重新審查

如果 Google 已經標記你的網站為危險，清除完畢後要在 Google Search Console 提交重新審查。Google 說明安全審查可能需要幾天到幾週才完成。

從備份還原也是一個選項，前提是你有做備份。看 WordPress 備份教學。

自己處理太複雜？

被駭處理不簡單，漏掉一個後門駭客就會再進來。GOT YOU DESIGN 的安全團隊專門處理 WordPress 被駭案件，確保徹底清除。

👉 加 LINE 讓專業團隊幫你清除惡意程式

WordPress 安全外掛推薦 — 前 5 名比較

根據 Sucuri 2022 年的被駭網站報告，在它清理過的網站中，72.72% 被偵測到惡意程式，69.63% 至少有一個後門，46.76% 有 SEO 垃圾內容（較新的 WordPress 資安統計可參考 Colorlib）。處理完被駭之後，裝好安全外掛防止再次發生。

我們最推薦 Wordfence。免費版的功能就很完整，對大部分網站來說夠用了。

WordPress 安全防護 10 個必做設定

根據 Patchstack 的報告，被大量利用的漏洞，從揭露到大規模攻擊的中位數時間只有 5 小時（Patchstack, 2026）。預防勝於治療。做好這 10 項設定，讓駭客無從下手。

1. 限制登入次數 — 裝 Limit Login Attempts Security（原 Limit Login Attempts Reloaded）
2. 啟用雙重驗證（2FA） — Wordfence 內建或裝 WP 2FA
3. 更改預設登入網址 — 把 /wp-admin 改成自訂網址
4. 停用 XML-RPC — 阻止暴力破解攻擊的管道之一
5. 設定正確檔案權限 — wp-config.php 設為 400 或 440
6. 隱藏版本資訊 — functions.php 加入 remove_action('wp_head', 'wp_generator')
7. 啟用 WAF（Web 應用防火牆） — Wordfence 或 Cloudflare
8. 定期更新備份 — 看 備份教學
9. 選擇安全的主機商 — 有 WAF、自動備份、惡意程式掃描的主機
10. 資安意識培養 — 不亂裝外掛、不用弱密碼、不在公用 Wi-Fi 登入後台

更完整的安全防護策略請看 WordPress 網站安全與維護完整攻略。也建議定期用 安全檢測工具 掃描你的網站。

WordPress 被駭常見問題 FAQ

Q: WordPress 被駭後資料還救得回來嗎？

A: 如果有備份就能救回來。從被駭前的備份還原是最乾淨的方式。沒有備份的話，清除惡意程式後大部分資料通常還在，但要確保徹底清除所有後門。電商網站的訂單資料如果在資料庫裡，通常不會被刪除（駭客的目標是利用你的網站，不是破壞你的資料）。

Q: WordPress 被駭處理費用大概多少？

A: 根據 Colorlib 轉引的 Patchstack 報告，2024 年新發現的 WordPress 漏洞中，XSS 跨站腳本攻擊佔 47.7%（Colorlib, 2026）。台灣市場行情：簡單的惡意程式清除約 NT$5,000-15,000，嚴重的全站感染可能 NT$20,000-50,000。如果網站被 Google 標記為危險，還需要額外的 SEO 恢復費用。所以做好預防（每月 NT$2,000-5,000 的維護費）比出事後修復划算太多。

Q: 被駭後需要換主機嗎？

A: 不一定。如果是外掛漏洞或弱密碼造成的，在原主機清除惡意程式並補好漏洞就可以。但如果主機商本身的安全防護不夠好（沒有 WAF、沒有自動備份），趁這次機會換到更安全的主機也是合理的選擇。

網站出問題急著修？

GOT YOU DESIGN 提供 WordPress 被駭緊急處理服務，專業團隊幫你快速清除惡意程式、修補漏洞、恢復上線。

👉 加 LINE 馬上處理