Hacket WordPress hjemmeside: hvad gør du?

Kort svar: Er din WordPress hjemmeside hacket, så begræns skaden først: luk eller afskærm sitet, bevar logs og dokumentér, hvad du ser. Gendan derefter fra en ren backup fra før angrebet, eller erstat kernefiler, temaer og plugins med rene kopier. Skift alle adgangskoder og salts, aktivér totrinslogin, og opdatér alt. Vurdér til sidst, om persondata er berørt, for så skal Datatilsynet som udgangspunkt have besked inden for 72 timer.

Fagligt gennemgået: 2. oktober 2026

Når en WordPress-hjemmeside bliver hacket, føles det ofte kaotisk. Sitet kan være blevet ændret, omdirigeret, sortlistet i søgemaskiner eller helt lukket af hosten. For virksomheder og webshops er det ikke kun et teknisk problem, men også et spørgsmål om drift, omdømme og i nogle tilfælde persondata.

Den gode nyhed er, at en hacket WordPress-side sjældent kræver panik. Det kræver en rolig og systematisk indsats. Officielle anbefalinger fra WordPress, NIST, FTC og CISA peger i samme retning: begræns skaden først, bevar overblik, gendan fra en ren kilde, og luk derefter de adgangsveje, der gjorde angrebet muligt.

Tegn på en kompromitteret WordPress hjemmeside

Et hack er ikke altid tydeligt med det samme. Nogle angreb handler om synlig defacement, hvor forsiden ændres, mens andre er langt mere diskrete og bruger websitet til spam, phishing, skjult malware eller videre angreb mod serveren. CISA peger også på, at kompromitterede websites kan bruges til bredere misbrug, især hvis angriberen har fået lagt web shells ind på serveren.

WordPress nævner flere klassiske faresignaler. Det kan være, at Google eller Bing markerer siden som usikker, at hostingleverandøren har lukket adgangen, at sikkerhedsværktøjer melder om malware, eller at der dukker brugere op i WordPress, som ingen i organisationen har oprettet.

Typiske tegn kan være:

• Ukendte administratorbrugere
• Omdirigeringer til andre domæner – ofte kun for mobilbrugere eller besøgende fra Google
• Nye filer eller mapper uden forklaring
• Ændret forside eller mærkeligt indhold
• Advarsler i browseren om malware
• Markant langsommere site eller pludselige fejl
• Uventet e-mail-spam fra domænet

Hvis du genkender bare ét af disse signaler, bør du behandle det som en reel sikkerhedshændelse, indtil det modsatte er bevist.

Akut handling ved hacket WordPress hjemmeside

Det første mål er ikke at få siden pæn igen. Det første mål er at stoppe blødningen. Hvis angriberen stadig har adgang, kan enhver hurtig “rettelse” blive overskrevet få minutter senere.

Start med at begrænse eksponeringen. Hvis sitet viser skadelig kode, phishing-indhold eller personoplysninger, bør det tages offline eller sættes bag en midlertidig adgangsbegrænsning. FTC anbefaler, at fejlagtigt publicerede personoplysninger fjernes med det samme, og NIST lægger vægt på at mobilisere responsen straks.

Herefter bør du sikre sporene. Slet ikke tilfældige filer i blinde. Logfiler, tidsstempler, ændringshistorik og skærmbilleder kan blive afgørende, både for fejlfinding og for at afklare, om hændelsen også har ramt kundedata, e-mail-konti eller andre systemer.

Gør dette i den tidlige fase:

• Begræns adgang: Sæt siden i vedligeholdelsestilstand, beskyt den med adgangskode, eller luk midlertidigt for offentlig adgang.
• Kontakt relevante personer: Involver intern IT, bureau, udvikler eller hostingpartner med det samme.
• Dokumentér hændelsen: Notér tidspunkt, tidszone, symptomer og nylige ændringer i plugins, temaer, widgets eller brugere.
• Fjern eksponerede persondata: Hvis kundeoplysninger eller andre følsomme data ligger offentligt, skal de væk straks.
• Bevar beviser: Tag kopi af logs, filoversigter og eventuelle advarsler fra browser eller sikkerhedsværktøj.
• Undgå tilfældige “quick fixes”: Ustrukturerede ændringer gør oprydningen sværere og kan skjule angrebets spor.

Et hurtigt, velordnet første svar giver langt bedre odds for en ren gendannelse.

Før du ændrer noget: Tag en fuld kopi af det kompromitterede site – filer og database – og gem den et sted, hvor den ikke kan køre. Den skal ikke gendannes, men den kan være nødvendig for at finde ud af, hvordan angriberen kom ind.

Dokumentation og scanning af website og lokale enheder

WordPress anbefaler helt konkret at dokumentere hændelsen og at scanne både selve websitet og den lokale computer. Det punkt bliver ofte overset. Mange kompromitteringer starter ikke på serveren, men på en medarbejders maskine, hvor malware har stjålet login til FTP, SFTP, hostingpanel eller wp-admin.

Se derfor ikke kun på hjemmesiden. Kontroller også de enheder, der bruges til at administrere den. Hvis en lokal computer er kompromitteret, kan angriberen få adgang igen, selv efter at du har ryddet flot op i WordPress.

Samtidig bør du indsamle de vigtigste tegn på kompromittering (Indicators of Compromise). Det kan være mistænkelige PHP-filer i uploads-mappen, ændrede .htaccess-regler, ukendte cron-jobs, obfuskeret kode, nye administratorer eller mærkelige eksterne forbindelser i serverlogs. Ved mistanke om web shells er ekstra grundighed nødvendig, fordi den type filer kan give angriberen vedvarende fjernadgang.

Har du adgang til WP-CLI, kan du sammenligne WordPress-kernen med de officielle filer:

wp core verify-checksums
wp plugin verify-checksums --all

Kommandoerne viser filer, der er ændret eller tilføjet i forhold til den officielle version. De dækker kun kernen og plugins fra WordPress.org – temaer, premium-plugins og uploads-mappen skal du gennemgå på anden vis.

En enkel arbejdsregel er denne: Hvis du ikke kan forklare, hvorfor en fil, bruger eller proces findes, skal den undersøges, før siden sættes i normal drift igen.

Gendannelse af WordPress-filer og database efter et hack

Når skaden er begrænset, kommer den del, der kræver disciplin. Målet er ikke kun at få siden op igen, men at få den op i en ren tilstand. WordPress anbefaler ofte en kombination af backup, scanning, nulstilling af adgangsoplysninger og geninstallation af centrale kernefiler fra en ren kopi.

Den sikreste løsning er typisk at gendanne fra en kendt, ren backup, der er taget før kompromitteringen. Det kræver, at du ved, hvornår angrebet sandsynligvis startede. Hvis backupen er for ny, kan du komme til at gendanne infektionen sammen med sitet. Guiden om at gendanne fra backup viser, hvordan du gør det uden at miste nye ordrer og indhold.

Hvis du ikke har en ren backup, er næste skridt ofte at erstatte WordPress-kernen med rene filer. Det gælder især mapperne /wp-admin og /wp-includes, som bør komme fra en frisk, officiel WordPress-pakke. Temaer og plugins bør geninstalleres fra troværdige kilder i stedet for blot at blive “repareret” direkte på serveren.

Databasen kræver også opmærksomhed. Angribere lægger ikke kun kode i filer. De kan indsætte skadelige scripts i indlæg, widgets, options-tabeller, redirects eller skjulte admin-konti. En ren filstruktur er derfor ikke nok, hvis databasen stadig er forurenet.

Situation	Praktisk handling
Der findes en kendt ren backup	Gendan sitet til det tidspunkt, scan det, og opdatér alt før genåbning
WordPress-kernen er ændret	Erstat /wp-admin og /wp-includes med rene kernefiler
Plugins eller temaer er mistænkelige	Slet og geninstallér fra officielle eller betroede kilder
Ukendte brugere findes i WordPress	Fjern brugerne, gennemgå roller, og nulstil adgang
Mistanke om web shell	Gennemgå filer og logs grundigt, og overvej ekstern hjælp, før driften genoptages
Skadelig kode findes i databasen	Rens databasen målrettet, og validér indhold, widgets og redirects

I praksis vil et fuldt gendannelsesforløb ofte se sådan ud: tag en sikker kopi af det kompromitterede miljø til analyse, gendan eller genopbyg sitet i et lukket miljø, kontrollér funktionaliteten, og åbn først derefter for normal trafik. Har du adgang til staging, snapshots og serverlogs, bliver processen både hurtigere og mere præcis. Den detaljerede fremgangsmåde står i guiden om malware-oprydning i WordPress.

Nulstilling af adgang, totrinslogin og opdateringer efter kompromittering

Et hack er sjældent kun et filproblem. Det er også et adgangsproblem. Hvis angriberen er kommet ind via stjålne loginoplysninger, vil sitet være sårbart igen, indtil alle relevante nøgler er skiftet.

Derfor bør alle adgangsoplysninger nulstilles. Det gælder WordPress-brugere, hostingkonti, databaser, SFTP, SSH, kontrolpanel, e-mail-konti og eventuelle API-nøgler. Skift også WordPress’ salts og sikkerhedsnøgler i wp-config.php, så eksisterende sessioner bliver ugyldige. Se guiden om wp-config-hærdning.

Totrinslogin (MFA) bør aktiveres de steder, hvor det er muligt. Det gælder især administratorer, hostingpaneler og e-mail. Stærke adgangskoder hjælper, men totrinslogin gør det langt sværere at misbruge stjålne logins.

Som WordPress fremhæver i sin officielle vejledning om sikring af WordPress, opstår mange kompromitteringer gennem simple fejl som genbrugte adgangskoder, usikre netværk og uforsigtige klik. Det understreger behovet for at stramme den digitale hygiejne på alle enheder med adgang til WordPress.

Samtidig bør du gå alle brugere og roller igennem med et kritisk blik. Mange hacks bliver værre, fordi for mange har for høje rettigheder.

Efter oprydningen er opdateringer ikke til forhandling. WordPress gør selv opmærksom på, at den nyeste version er den version, der officielt understøttes. Kernen, temaer, plugins og PHP-version bør bringes op på et niveau, hvor kendte sårbarheder er lukket – i dag betyder det PHP 8.3 eller nyere.

Gennemgå især dette:

• Adgangskoder: Skift alle relevante logins, også dem uden for WordPress
• Totrinslogin: Aktivér det for administratorer og kritiske konti
• Brugerroller: Fjern gamle brugere, og reducér rettigheder til det nødvendige
• Opdateringer: Bring WordPress, temaer, plugins og servermiljø ajour
• API-nøgler og tokens: Udskift nøgler til betalingsløsninger, e-mail og integrationer

Her bliver et veldrevet hostingmiljø en klar fordel, fordi opdateringer, sikkerhedsregler og loginbeskyttelse kan håndteres mere konsekvent.

Når Google har markeret sitet som farligt

Har Google opdaget malware eller phishing, kan sitet få en rød advarsel i Chrome og en markering i søgeresultaterne. Advarslen forsvinder ikke af sig selv, selv om du har ryddet op.

Gør sådan, når sitet er rent:

1. Log ind i Google Search Console, og åbn rapporten Sikkerhedsproblemer.
2. Gennemgå de eksempel-URL’er, Google viser, og kontrollér, at de nu er rene.
3. Klik på Anmod om gennemgang, og beskriv kort, hvad du har fundet, og hvad du har rettet.
4. Følg med i status – det kan tage fra et døgn til flere uger, før advarslen er væk.

Tjek også, om angriberen har tilføjet sig selv som bruger eller ejer i Search Console, og fjern ukendte brugere. Har domænet sendt spam, kan det være havnet på sortlister, som påvirker din mail. Guiden om mails fra WordPress i spam hjælper med at få styr på afsenderopsætningen.

Når en hacket WordPress side kan have ramt persondata

Hvis kompromitteringen involverer kundeoplysninger, formularindsendelser, ordrehistorik eller offentligt eksponerede data, ændrer sagen karakter. Så handler det ikke kun om drift, men også om ansvar og vurdering af anmeldelsespligt.

FTC anbefaler hurtig handling for at stoppe yderligere datatab, og hvis personoplysninger er blevet vist på websitet ved en fejl eller som følge af angrebet, skal de fjernes straks. NIST peger i samme retning og ser incident response som en organiseret proces, ikke bare en teknisk oprydning.

Det betyder typisk, at du skal afklare tre spørgsmål hurtigt: Hvilke data kan være berørt? Hvor længe har de været eksponeret? Hvem skal informeres internt og eksternt?

Efter GDPR skal et brud på persondatasikkerheden som udgangspunkt anmeldes til Datatilsynet inden for 72 timer, efter at du er blevet opmærksom på det – medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte. Er risikoen høj, skal de berørte personer også underrettes. Dokumentér hændelsen uanset hvad. Ved tvivl er juridisk rådgivning ofte en god investering. Læs også om GDPR og hosting.

Forebyggelse mod næste WordPress-hack

Når sitet er renset, er det fristende at vende tilbage til normal drift og lukke sagen. Det er sjældent nok. Et kompromis er også et signal om, at sikkerhedsmodellen skal strammes op.

CISA anbefaler blandt andet at deaktivere unødvendige funktioner og arbejde med application allow listing, så kun godkendte komponenter og processer får plads i miljøet. I WordPress-sammenhæng betyder det i praksis færre plugins, færre aktive temaer, ingen gamle testværktøjer og ingen brugere, der bare “kan være rare at have”.

Det giver også mening at placere sitet bag en WAF, overvåge filændringer, bruge regelmæssige malware-scanninger og sikre hyppige backups med en testet gendannelsesproces. Mange tror, at backup alene er nok. Det er den ikke. Backup uden verificeret gendannelse er kun en antagelse.

En stærk forebyggende model kan bygges op omkring få, klare principper:

• Rene og løbende testede backups
• Få og nøje udvalgte plugins
• Staging før ændringer i produktion
• Kontinuerlig overvågning og alarmer
• Mindst mulige brugerrettigheder
• Hurtig opdatering ved kendte sårbarheder

For bureauer, webshops og virksomheder med flere websites er standardisering næsten altid gevinsten værd. Samme sikkerhedsopsætning, samme opdateringsrutiner og samme adgangspolitik giver færre overraskelser og hurtigere respons, når noget afviger.

Hvornår professionel hjælp er den rigtige beslutning

Nogle angreb kan håndteres internt. Andre bør eskaleres straks. Det gælder især ved mistanke om web shells, gentagne reinfektioner, kompromitterede serverkonti, uklar datalækage, eller når flere systemer end selve hjemmesiden ser ud til at være ramt.

Hvis du ikke med rimelig sikkerhed kan svare på, hvordan angriberen kom ind, er arbejdet ikke færdigt. Så er næste skridt ikke mere gætteri, men dybere analyse, ren gendannelse og en strammere sikkerhedsmodel, så WordPress-siden kan komme tilbage i drift på et sikkert grundlag.

Læs også

• Hub: WordPress sikkerhed og backup – alle guides om emnet samlet ét sted
• Malware-oprydning i WordPress – trin for trin
• Gendan fra backup uden at miste nye ordrer og indhold
• Totrinslogin (2FA) i WordPress
• Beskyt WordPress-login mod brute force
• WordPress serviceaftale – opdateringer, overvågning og backup på abonnement

Ofte stillede spørgsmål om hackede WordPress-sider

Hvordan ved jeg, om min WordPress-side er hacket?

Typiske tegn er ukendte administratorer, omdirigeringer til fremmede sider, advarsler i Google, nye filer i wp-content eller pludselige udfald. Ser du ét af dem, så undersøg det straks – vent ikke på flere.

Skal jeg bare gendanne en backup, når sitet er hacket?

Gendannelse er en del af løsningen, men aldrig hele. Uden at lukke hullet – et forældet plugin, et svagt kodeord eller en bagdør – risikerer du at blive hacket igen, ofte inden for få dage.

Skal jeg anmelde et hack efter GDPR?

Hvis persondata kan være berørt, skal Datatilsynet som udgangspunkt underrettes inden for 72 timer. Dokumentér derfor tidspunkter, omfang og handlinger fra det øjeblik, du opdager angrebet.

Hvordan fjerner jeg Googles advarsel efter et hack?

Ryd først sitet helt op. Åbn derefter rapporten Sikkerhedsproblemer i Google Search Console, og anmod om en ny gennemgang med en kort beskrivelse af, hvad du har rettet.