איך מנקים וירוס מאתר וורדפרס – ידני, תוסף או ניקוי ברמת השרת

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: יש שלוש דרכים לניקוי וירוס מאתר וורדפרס: ניקוי ידני (החלפת קבצי הליבה והתוספים בעותקים רשמיים וחיפוש קוד זר במסד הנתונים), תוסף אבטחה שסורק ומנקה מתוך וורדפרס, או ניקוי אוטומטי ברמת השרת שרץ מחוץ לאתר. ניקוי ידני הוא חינמי אבל דורש ידע ושעות. תוסף נוח, אבל רץ באותה שכבה שבה רצה הנוזקה. הגנה ברמת השרת, כמו Malware Protection של קלאודוויז (Cloudways) מ-2$ עד 4$ לאפליקציה בחודש, מנקה גם את מסד הנתונים וממשיכה להגן אחרי הניקוי.

⏱ זמן ביצוע: 30 דקות (ניקוי בשרת) עד 4–8 שעות (ניקוי ידני) · רמת קושי: בינונית עד מתקדמת · נבדק לאחרונה: 06.11.2026

מה זה "וירוס באתר" ולמה קשה להיפטר ממנו

נוזקה (Malware) באתר היא קוד שהוכנס בלי רשות ומבצע משהו שאתם לא ביקשתם. באתרי וורדפרס היא מופיעה בדרך כלל באחת מארבע צורות:

• דלת אחורית (Backdoor): קובץ PHP קטן שמאפשר לפורץ לחזור גם אחרי שהחלפתם סיסמאות. זה החלק החשוב ביותר לניקוי, וגם הכי קל לפספס.
• הפניה זדונית: שולחת את הגולשים לאתר אחר, לפעמים רק מנייד או מגוגל.
• ספאם קידום: אלפי דפים או קישורים נסתרים שמנצלים את הסמכות של הדומיין שלכם בגוגל.
• גניבת נתונים: סקריפט בדף התשלום שמעתיק פרטי כרטיס, או קוד שגונב סיסמאות משתמשים.

הנוזקה קשה לניקוי משתי סיבות. ראשית, היא מתפזרת: יש כמה עותקים במקומות שונים, וחלקם במסד הנתונים ולא בקבצים. שנית, אם הדלת שדרכה נכנסו (תוסף פגיע, סיסמה דולפת) נשארת פתוחה, האתר יידבק שוב בתוך ימים. למשל, ראו איך נראית פריצה דרך WP File Manager בקלאודוויז ומה עושים אחריה.

לפני שמתחילים לנקות

• בודדו את האתר ושמרו עותק של המצב הנוכחי, כפי שמוסבר במדריך החירום לאתר פרוץ. אם עוד לא עשיתם את זה, התחילו משם.
• החליפו את כל הסיסמאות: חשבון האחסון, SFTP/SSH, משתמשי מנהל בוורדפרס, מסד הנתונים והמייל.
• בדקו אם יש גיבוי מלפני הפריצה. אם יש, ייתכן ששחזור ממנו מהיר יותר מניקוי (ראו גיבוי ושחזור בקלאודוויז).
• ודאו שיש לכם גישת SFTP או SSH לשרת. ניקוי רק דרך לוח הבקרה של וורדפרס לא מגיע לכל הקבצים.

איזו דרך לנקות וירוס מאתר כדאי לבחור?

	ניקוי ידני	תוסף אבטחה	ניקוי ברמת השרת
עלות	חינם (הזמן שלכם)	יש גרסאות חינמיות. שירותי ניקוי בתשלום, למשל Sucuri החל מ-229$ לשנה (האתר הרשמי, 06.11.2026)	Malware Protection בקלאודוויז: 4$ לאפליקציה לחודש (1–5), 3$ (6–15), 2$ (16 ומעלה)
ידע נדרש	גבוה: SSH, WP-CLI, SQL	נמוך	נמוך
זמן	שעות	דקות עד שעה לסריקה	הסריקה הראשונה מתחילה מיד בהפעלה
מסד נתונים	רק אם תחפשו בעצמכם	תלוי בתוסף	כן, לוורדפרס, ג'ומלה ומג'נטו
הנוזקה יכולה לנטרל אותו?	לא רלוונטי	כן, הוא רץ בתוך וורדפרס	לא, הוא רץ מחוץ לאתר
הגנה אחרי הניקוי	אין	כן, כל עוד התוסף פעיל	כן, כולל חסימה בזמן ריצה (RASP)
מתאים ל	מפתחים, אתר קטן, תקציב אפס	כל אחסון, כולל משותף	מי שמארח בשרת Flexible של קלאודוויז

אין כאן "הכי טוב" אחד. אם אתם באחסון משותף ולא מתכוונים לעבור, תוסף הוא האפשרות המעשית. אם אתם מנהלים כמה אתרים בשרת שלכם, ניקוי ברמת השרת חוסך הכי הרבה זמן. ואם אתם מפתחים ורוצים להבין מה קרה, ניקוי ידני מלמד הכי הרבה.

דרך 1: ניקוי ידני של אתר וורדפרס – שלב אחר שלב

הרעיון המרכזי: לא מנסים למצוא כל שורה זדונית. מחליפים את כל מה שאפשר להחליף בעותק רשמי ונקי, ומחפשים ידנית רק במה שאי אפשר להחליף (התוכן שלכם, ההעלאות ומסד הנתונים). הפקודות כאן הן של WP-CLI, שזמין בשרתי קלאודוויז דרך SSH (ראו התחברות ב-SSH ומדריך WP-CLI).

1. בדקו את קבצי הליבה מול הגרסה הרשמית: wp core verify-checksums. כל קובץ שמופיע כשונה או כמיותר הוא חשוד.
2. החליפו את הליבה בעותק נקי בלי לגעת בתוכן: wp core download --force --skip-content. הפקודה מורידה מחדש את קבצי וורדפרס ומשאירה את wp-content ואת wp-config.php.
3. בדקו את התוספים: wp plugin verify-checksums --all משווה תוספים מהמאגר הרשמי. תוסף שנכשל בבדיקה, מתקינים מחדש. תוספי פרימיום מורידים מחדש מהאתר של היצרן בלבד.
4. מחקו תוספים ותבניות שאינם בשימוש, וכל דבר שהורד מאתר לא רשמי (גרסה "פתוחה" של תוסף בתשלום).
5. חפשו קבצי PHP בתיקיית ההעלאות: find wp-content/uploads -name "*.php". בתיקייה הזו לא אמורים להיות קבצי PHP. כל ממצא כמעט בוודאות זדוני.
6. עברו על קבצי התבנית הפעילה, בעיקר functions.php, header.php ו-footer.php. חפשו eval(, base64_decode( ומחרוזות ארוכות ולא קריאות. אם התבנית מהמאגר הרשמי, פשוט התקינו אותה מחדש.
7. בדקו את .htaccess בתיקייה הראשית ובתיקיות המשנה. חוקי RewriteCond שבודקים מאיפה הגולש הגיע (Referrer) או איזה דפדפן הוא משתמש (User-Agent) הם סימן מובהק להפניה זדונית.
8. חפשו במסד הנתונים סקריפטים שהוזרקו: wp db search '<script' --all-tables. בדקו גם את הערכים siteurl ו-home בטבלת האפשרויות.
9. בדקו משתמשים ומשימות מתוזמנות: wp user list --role=administrator ו-wp cron event list. מחקו מנהלים לא מוכרים ומשימות עם שמות מוזרים.
10. החליפו את מפתחות האבטחה (Salts) ב-wp-config.php: wp config shuffle-salts. זה מנתק כל מי שמחובר כרגע, כולל הפורץ.

לפני כל מחיקה, ודאו שיש לכם עותק. ובחנות ווקומרס, אל תריצו פקודות החלפה על מסד הנתונים בלי גיבוי טרי: מספיקה טעות אחת בחיפוש והחלפה כדי לשבור הזמנות.

דרך 2: ניקוי עם תוסף אבטחה

תוספי אבטחה כמו Wordfence ו-Sucuri מציעים סורק שמשווה את הקבצים לעותקים רשמיים ומחפש חתימות של נוזקות מוכרות. חלקם מציעים גם שירות ניקוי על ידי צוות, בתשלום. היתרון: עובד בכל אחסון, כולל אחסון משותף, ולא דורש SSH.

החיסרון המבני: התוסף רץ בתוך וורדפרס, באותה שכבה של הנוזקה. נוזקה עם הרשאות כתיבה יכולה להשבית אותו, לשנות אותו או להסתתר מהסריקה שלו. גם Cloudways מעלה את הטענה הזו כנימוק להגנה ברמת השרת, וזה נכון בלי קשר לספק. בנוסף, סריקה מלאה של אתר גדול צורכת משאבים מהשרת, באתר עצמו.

אם בחרתם בתוסף: הריצו סריקה מלאה, טפלו בכל ממצא (אם התוסף לא בטוח, אל תמחקו קובץ ליבה, התקינו אותו מחדש), ואחר כך עברו על שלבים 4, 5 ו-9 של הניקוי הידני. תוסף לא תמיד מוצא קבצי PHP בתיקיית ההעלאות או משתמשים שנוספו.

דרך 3: ניקוי ברמת השרת עם Malware Protection בקלאודוויז

Malware Protection הוא תוסף בתשלום לשרתי Flexible של קלאודוויז, שמבוסס על Imunify360. הוא רץ ברמת השרת, ולכן קוד שהושתל באתר לא יכול לכבות אותו. הוא סורק קבצים ומסד נתונים, מנקה אוטומטית, ושולח דוח. נכון לנובמבר 2026, המחיר הוא לאפליקציה לחודש: 4$ ל-1 עד 5 אפליקציות, 3$ ל-6 עד 15, ו-2$ מ-16 ומעלה.

1. היכנסו לפאנל הניהול, פתחו את Servers ובחרו את השרת שעליו יושב האתר.
2. לחצו על סמל ה-www (הגלובוס) ובחרו את האפליקציה.
3. תחת Application Management בחרו Application Security ← Malware Protection. כבר כאן תראו אם האפליקציה מסומנת כנגועה (Infected).
4. לחצו Enable Protection. ההגנה בזמן אמת מופעלת, והסריקה הראשונה של הקבצים ומסד הנתונים מתחילה אוטומטית. אין צורך להשאיר את הפאנל פתוח.
5. כשהסריקה מסתיימת, עברו ללשונית Malicious. כל ממצא מופיע עם סטטוס: Cleaned (הקוד הוסר מתוך הקובץ), Removed (קובץ זדוני כולו נמחק), Quarantined (בודד, וניתן לשחזר) או In Progress.
6. עברו על הרשימה. אם קובץ לגיטימי סומן בטעות, שחזרו אותו מעמודת Actions. השחזור מדווח אוטומטית כ"חיובי שגוי" (False Positive) לבדיקה. התייעצו עם המפתח לפני שאתם משחזרים.
7. בדקו את Scan History ואת Proactive Defense. השני מציג ניסיונות שנחסמו בזמן ריצה, כולל נתיב הסקריפט שממנו הגיעו. זה רמז טוב לאיפה נמצאת הפרצה.

שני דברים חשובים לדעת. ראשית, אם הניקוי האוטומטי לא מצליח, פותחים פנייה לתמיכה, ולפי Cloudways אנליסטי האבטחה שלה מנקים ידנית בלי תשלום נוסף. שנית, התוסף לא מספק חקירה מלאה של מקור הפריצה. Cloudways כותבת זאת במפורש. את סגירת הפרצה אתם עדיין צריכים לעשות בעצמכם (ראו בהמשך). להסרת האזהרה מגוגל ראו אזהרת "האתר עלול להזיק" של גוגל.

ועוד הבהרה: זיהוי נוזקות כלול בחינם בשרתי Flexible. הניקוי האוטומטי, ההגנה בזמן ריצה וסריקת מסד הנתונים הם מה שמשלמים עליו. אפשר להפעיל את התוסף רק על אתרים נבחרים. מדריך הפעלה מלא: Malware Protection בקלאודוויז. מחירי כל התוספים: מחירון התוספים.

איך מוודאים שהאתר באמת נקי אחרי הניקוי?

מוודאים בבדיקה שיטתית, כי ניקוי שלא נבדק הוא ניחוש. אחרי כל אחת משלוש הדרכים, עברו על הרשימה:

• הריצו סריקה נוספת. ממצא חדש אחרי יום או יומיים אומר שהדלת האחורית עדיין קיימת.
• גלשו לאתר מטלפון נייד, מחלון גלישה בסתר ודרך תוצאה בגוגל. אלה התרחישים שהנוזקה מכוונת אליהם.
• חפשו site:הדומיין-שלכם.co.il בגוגל ובדקו אם נשארו דפי ספאם באינדקס.
• בדקו את דוח Security issues ב-Google Search Console, ואם יש אזהרה, שלחו בקשה לבדיקה חוזרת.
• סגרו את הפרצה: עדכנו הכול, בדקו את Vulnerability Scanner בפאנל (תחת Application Security), והפעילו אימות דו-שלבי.

מתי לקרוא לאיש מקצוע

יש מצבים שבהם לא כדאי לנקות לבד: כשהאתר מעבד תשלומים והיה חשש לגניבת כרטיסים, כשהאתר נדבק שוב אחרי שני ניקויים, כשיש חשש שמידע אישי של לקוחות דלף, או כשאין לכם זמן ללמוד את זה תחת לחץ. מומחה אבטחה יחפש גם את מקור הפריצה, וזה החלק שכלים אוטומטיים לא עושים. לניקוי ושיקום אחרי ספאם יפני ראו פריצה יפנית ודפי ספאם באינדקס.

אילו טעויות נפוצות עושים בניקוי וירוס מאתר?

ניקוי בלי החלפת סיסמאות: הפורץ חוזר עם הסיסמה הישנה. מחליפים קודם, מנקים אחר כך.

מחיקת הקובץ החשוד בלבד: נוזקה כמעט תמיד משאירה כמה עותקים. אחרי שמצאתם קובץ אחד, חפשו את אותה מחרוזת בכל האתר.

שכחת מסד הנתונים: הפניות וסקריפטים שהוזרקו לפוסטים ולהגדרות לא יופיעו בסריקת קבצים.

התקנת תוסף אבטחה נוסף על תוסף קיים: שני סורקים בו זמנית מאטים את האתר ויכולים להתנגש. בחרו אחד.

שחזור קובץ שסומן כזדוני "כי האתר נשבר": לפעמים זה באמת חיובי שגוי, ולפעמים התבנית עצמה נגועה. בדקו את הקוד לפני שאתם משחזרים.

שאלות נפוצות

מדריכים קשורים

• האתר נפרץ? מדריך חירום – 10 הצעדים הראשונים
• Malware Protection בקלאודוויז – הפעלה ושימוש
• מחירון התוספים של קלאודוויז
• אבטחת אתר – כל השכבות
• WP-CLI בקלאודוויז
• כל מדריכי האבטחה: מדריכי אבטחה

מקורות

• How to Use Malware Protection to Protect Your Applications
• Detect Security Bugs Using Vulnerability Scanner
• Cloudways Malware Protection
• Sucuri pricing
• WP-CLI: wp core verify-checksums

מקור רשמי: How to Use Malware Protection to Protect Your Applications, Detect Security Bugs Using Vulnerability Scanner (Cloudways Knowledge Base); Cloudways Malware Protection; Sucuri pricing (נבדק 06.11.2026); WP-CLI: wp core verify-checksums. המדריך נכתב ונבדק על ידי עשהאל דרייר · עודכן: 06.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים