Jak wykryć malware na stronie Joomla. Aktualizacja 2026

Skaner online może wykryć przekierowanie, złośliwy JavaScript albo obecność domeny na czarnej liście, ale nie potwierdzi, że serwer jest czysty. Pełna diagnostyka Joomla wymaga sprawdzenia plików, bazy danych, kont administratorów, zadań cyklicznych i logów. Wynik „brak zagrożeń” w publicznym skanerze nie wyklucza backdoora działającego po stronie PHP.

Poradnik dotyczy Joomla 4, 5 i 6. Informacje oraz odnośniki sprawdzono 10 września 2026 roku.

Objawy infekcji Joomla

Nie każda awaria oznacza włamanie, ale kilka symptomów powinno uruchomić dokładną kontrolę:

• przekierowanie na obcą stronę, widoczne tylko z Google, telefonu albo dla nowych odwiedzających,
• ostrzeżenie przeglądarki, Google Search Console lub hostingu o złośliwej zawartości,
• nieznane konto Super User, zmieniony adres e-mail administratora albo niespodziewane logowania,
• nowe pliki PHP w katalogach images, media, tmp lub cache,
• obce skrypty w treści artykułów, modułach, szablonie lub ustawieniach rozszerzeń,
• masowa wysyłka poczty, gwałtowny wzrost obciążenia, nieznane procesy albo blokada konta hostingowego,
• powracające zmiany w index.php, .htaccess lub innych plikach po ich ręcznym usunięciu.

Pojedynczy symptom może mieć inne źródło. Na przykład przekierowanie bywa skutkiem błędnej konfiguracji, a wysoka liczba żądań może wynikać z ruchu botów. O infekcji decydują znalezione ślady i ich powiązanie z zachowaniem strony.

Co zrobić przed skanowaniem?

1. Nie kasuj od razu podejrzanych plików. Zapisz ich ścieżki, daty modyfikacji i wykonaj kopię materiału do analizy.
2. Ogranicz dostęp do zainfekowanej strony. Sama funkcja „Witryna wyłączona” w Joomla może nie zatrzymać kodu działającego poza CMS. W razie aktywnego ataku poproś hosting o izolację konta lub regułę blokującą ruch.
3. Zabezpiecz logi. Pobierz logi dostępu, błędów PHP, FTP/SFTP, panelu hostingowego i poczty, zanim zostaną nadpisane.
4. Zmień dane dostępowe z czystego urządzenia. Dotyczy to panelu hostingu, SFTP/SSH, bazy, kont administratorów i skrzynek powiązanych z odzyskiwaniem haseł. Najpierw trzeba jednak ograniczyć aktywny dostęp napastnika, aby nowe hasła nie zostały ponownie przejęte.

Co sprawdza skaner online?

Skaner publiczny pobiera stronę podobnie jak przeglądarka. Może zauważyć kod JavaScript, iframe, podejrzane przekierowania, spam SEO i wpis na liście reputacyjnej. Nie ma dostępu do plików PHP, bazy danych ani logów serwera.

Do szybkiego sprawdzenia można wykorzystać:

• Sucuri SiteCheck, który analizuje publiczną odpowiedź strony i listy reputacyjne,
• VirusTotal URL, który porównuje ocenę adresu w wielu usługach bezpieczeństwa,
• Google Safe Browsing Site Status oraz raporty „Problemy dotyczące bezpieczeństwa” w Google Search Console.

Wykonaj test kilka razy: dla strony głównej, podstrony wskazanej w ostrzeżeniu oraz adresu otwieranego z wyników wyszukiwania. Część infekcji pokazuje złośliwą treść tylko wybranym użytkownikom, urządzeniom lub robotom.

Dlaczego wynik skanera może być fałszywie uspokajający?

Backdoor PHP może nie generować żadnej treści dla zwykłego odwiedzającego. Złośliwy kod bywa uruchamiany tylko po podaniu specjalnego parametru, przez zadanie cron albo po zalogowaniu administratora. Skaner nie zobaczy też wykradzionych kont, zmienionych uprawnień, ukrytego użytkownika bazy ani plików znajdujących się poza publicznym katalogiem strony.

Możliwy jest również fałszywy alarm. Minifikowany JavaScript, narzędzie analityczne lub kod reklamowy może przypominać zaciemnianie stosowane w malware. Każde wskazanie trzeba zweryfikować w kontekście pliku, jego pochodzenia i działania.

Analiza plików Joomla na serwerze

Najpewniejszym punktem odniesienia dla rdzenia jest czysty pakiet dokładnie tej samej wersji Joomla. Porównaj sumy lub zawartość plików i odnotuj różnice. Nie nadpisuj od razu całej instalacji, ponieważ usuniesz część śladów, a pliki rozszerzeń i backdoory poza rdzeniem pozostaną.

Podczas kontroli zwróć uwagę na:

• pliki PHP w katalogach przeznaczonych na obrazy, multimedia, cache i pliki tymczasowe,
• pliki utworzone lub zmodyfikowane w czasie pierwszych objawów,
• nazwy podobne do plików systemowych, nietypowe rozszerzenia i podwójne rozszerzenia,
• zaciemniony kod zawierający między innymi eval, base64_decode, gzinflate lub shell_exec.

Same nazwy funkcji nie są dowodem infekcji. Legalne rozszerzenia również mogą ich używać. Liczy się całość: położenie pliku, źródło, data, sposób wywołania i porównanie z oryginalnym pakietem.

Baza danych, konta i konfiguracja

Infekcja nie musi pozostawiać się wyłącznie w plikach. Sprawdź:

• użytkowników i grupy z uprawnieniami administracyjnymi,
• treść artykułów, modułów HTML, ustawień szablonu i rekordów rozszerzeń pod kątem obcych skryptów,
• listę zainstalowanych pluginów, modułów i komponentów oraz ich stan publikacji,
• zadania cykliczne Joomla, cron w hostingu oraz automatycznie dołączane pliki PHP,
• .htaccess, php.ini, .user.ini i konfigurację domen lub subdomen,
• inne strony na tym samym koncie hostingowym. Jedna nieaktualna instalacja może ponownie infekować pozostałe.

Jak wykorzystać logi?

Log dostępu pomaga ustalić, który adres został wywołany przed zmianą pliku albo utworzeniem konta. Szukaj nietypowych żądań POST, wywołań plików PHP w katalogach z mediami, prób instalacji i logowań do zaplecza. Logi błędów mogą pokazać uruchomienie podejrzanego pliku, a logi poczty wskazują skrypt wysyłający spam.

Brak wpisu nie zamyka analizy. Hosting może przechowywać logi krótko, używać serwera pośredniczącego albo nie rejestrować wszystkich operacji wykonywanych przez panel i zadania lokalne.

Czego nie robić po wykryciu malware?

• Nie ograniczaj naprawy do skasowania jednego wskazanego pliku.
• Nie zakładaj, że aktualizacja Joomla usunie backdoora pozostawionego wcześniej na serwerze.
• Nie przywracaj losowej starej kopii bez sprawdzenia, czy była wykonana przed infekcją.
• Nie instaluj „czyścicieli” z przypadkowych źródeł na już przejętej stronie.
• Nie usuwaj dowodów przed zapisaniem logów i kopii do analizy.

Co obejmuje pełne czyszczenie strony?

Skuteczna naprawa obejmuje usunięcie złośliwego kodu, zamknięcie drogi wejścia i kontrolę innych zasobów na koncie. W praktyce oznacza to analizę plików i bazy, weryfikację kont, aktualizację lub wymianę podatnych rozszerzeń, zmianę danych dostępowych, kontrolę konfiguracji oraz test strony po uruchomieniu.

Jeśli potrzebujesz pomocy, zobacz zakres usługi usuwania wirusów i złośliwego kodu z Joomla. Do pierwszego zgłoszenia wystarczy adres strony, opis objawów, komunikat hostingu oraz znana wersja Joomla. Nie wysyłaj haseł w formularzu pierwszego kontaktu.

Jak ograniczyć ryzyko kolejnej infekcji?

• aktualizuj Joomla, rozszerzenia i szablon oraz sprawdzaj źródła aktualizacji,
• usuń nieużywane dodatki i stare instalacje z subdomen lub katalogów testowych,
• włącz uwierzytelnianie wieloskładnikowe dla administratorów,
• stosuj osobne, unikalne hasła i ogranicz liczbę kont z wysokimi uprawnieniami,
• utrzymuj kopie poza serwerem i regularnie sprawdzaj ich odtwarzanie,
• monitoruj zmiany plików, logowania, wysyłkę poczty i ostrzeżenia Search Console.

Źródła

• Joomla Security Checklist
• Joomla: postępowanie po włamaniu lub podmianie strony
• Joomla: hosting, serwer i kopie zapasowe