รักษาความปลอดภัยเว็บไซต์: คู่มือฉบับสมบูรณ์สำหรับการสแกนและทำความสะอาดธีม WordPress จากมัลแวร์

จินตนาการดูสิ: คุณรันสแกนธีม WordPress เพื่อหาโค้ดอันตราย แต่ผลลัพธ์บอกว่า "ไม่พบไวรัส"

นั่นหมายความว่าคุณไม่ต้องเสียเวลาหลายชั่วโมงไปค้นหาเครื่องมือทำความสะอาด และไม่ต้องจ่ายเงินหลายพันบาทเพื่อซักฟอกธีม นี่คือสถานการณ์ที่ดีที่สุด แต่ความจริงมักแตกต่างออกไป

นี่คือ 2 สถานการณ์ที่คุณอาจกำลังเผชิญอยู่:

• ปลั๊กอินความปลอดภัยหรือโฮสติ้งบ่งชี้ว่าธีมที่ติดตั้งอยู่บนเว็บไซต์มีมัลแวร์
• คุณต้องการติดตั้งธีมใหม่แต่สงสัยว่าอาจติดไวรัสอยู่แล้ว

ไม่ว่าจะเป็นกรณีไหน คุณต้องการสแกนธีมเพื่อยืนยันว่ามีมัลแวร์จริงหรือไม่ แล้วจะทำอย่างไรดี?

อย่ากังวล บทความนี้จะช่วยคุณทำได้ 3 สิ่ง:

• สแกนธีม ไม่ว่าจะติดตั้งแล้วหรือยัง
• ทำความสะอาดธีมที่ติดมัลแวร์
• ป้องกันเว็บไซต์จากธีมอันตรายในอนาคต

ราว 10 ปีที่ผ่านมา เราช่วยเว็บไซต์ที่โดนแฮกผ่านธีมได้หลายแสนเว็บ เพียงปฏิบัติตามขั้นตอนด้านล่างนี้

ทำไมธีมถึงติดมัลแวร์?

สรุปสั้น: ธีม WordPress ถูกปลอมมัลแวร์เพื่อให้ผู้ใช้ติดตั้งบนเว็บไซต์ ธีมที่ติดไวรัสมี "ประตูหลัง" (Backdoor) ให้แฮกเกอร์เข้าถึงเว็บไซต์ได้

ไครอยากติดตั้งธีมมัลแวร์? ในกรณีส่วนใหญ่ เจ้าของเว็บไม่รู้ว่ากำลังใช้ธีมอันตราย

ที่มาของธีมมัลแวร์ ขึ้นอยู่กับ ประเภทธีม และ แหล่งที่มา

1. ใช้ธีมจากแหล่งที่ไม่น่าเชื่อถือ

นอกจาก WordPress Repository แล้ว มีแหล่งภายนอกขาย/แจกธีมพรีเมียมฟรี ธีมเหล่านี้มักถูกดัดแปลงและฝังมัลแวร์ นั่นคือเหตุผลที่ให้ฟรี เมื่อติดตั้ง คุณเปิดประตูให้แฮกเกอร์เข้าเว็บ

2. ใช้ธีมฟรี

ผู้สร้างธีมพรีเมียมต้องรักษาความน่าเชื่อถือและชื่อเสียง ธีมของพวกเขาผ่านการควบคุมคุณภาพเข้มงวด ธีมฟรีขาดการควบคุมดังกล่าว จึงรุ่งเรืองต่อช่องโหว่ แฮกเกอร์ใช้ช่องโหว่เหล่านี้เข้าเว็บ แล้วฝัง Backdoor ลงในธีม/ปลั๊กอินอื่นๆ บนเว็บไซต์

3. ใช้โซลูชันแบบแบนเดิล (Bundled Solutions)

บางธีมมาพร้อมปลั๊กอิน ทำให้ซับซ้อน ตัวอย่าง: Slider Revolution ปลั๊กอินสไลด์ยอดนิยม หลายธีมรวมอยู่ในแพ็กเกจ เจ้าของเว็บมักไม่รู้ว่ามีปลั๊กอินนี้ทำงานอยู่ Slider Revolution เคยมีช่องโหว่ร้ายแรง แก้ไขด้วยอัปเดต แต่เจ้าของเว็บอัปเดตไม่ได้ (เฉพาะผู้สร้างธีมเท่านั้นที่อัปเดตได้) ทำให้เว็บไซต์อ่อนไหวจนกว่าจะมีการอัปเดตจากผู้สร้างธีม

มัลแวร์ในธีมอาจมาจากปลั๊กอินที่โดนแฮก หรือโฮสติ้งร่วม (Shared Hosting) ที่เว็บอื่นบนเซิร์ฟเวอร์เดียวกันโดนแฮก ส่งผลต่อเว็บของคุณ

ควรหลีกเลี่ยงธีมฟรี โซลูชันแบนเดิล และแหล่งที่ไม่น่าเชื่อถือ แต่หากจำเป็น ต้องสแกนธีมก่อนติดตั้ง เครื่องมือสแกนที่ดีจะตรวจพบมัลแวร์/โค้ดอันตรายที่ซ่อนอยู่ในธีม

วิธีตรวจจับโค้ดอันตรายหรือมัลแวร์ในธีม WordPress

วิธีเร็วที่สุดและมีประสิทธิภาพคือใช้ Theme Authenticity Checker (TAC) plugins เช่น MalCare WordPress Scanner ปลั๊กอินจะสแกนลึกทุกมุมของเว็บไซต์ หามัลแวร์แม้จะแปรรูปเป็นโค้ดปกติ

เราจะแสดงวิธีใช้ MalCare สแกนธีม 2 กรณี:

1. สแกนธีมที่ติดตั้งแล้ว
2. สแกนธีมก่อนติดตั้ง

หมายเหตุ: ทั้ง 2 วิธีใช้ปลั๊กอินสแกน หากต้องการสแกนด้วยตนเอง ข้ามไปที่ส่วน "สแกนด้วยตนเอง"

1. สแกนธีมที่ติดตั้งแล้ว

1. สมัครและเปิดใช้งาน MalCare Scanner บนเว็บไซต์ WordPress ที่มีธีมติดตั้งอยู่
2. จากแดชบอร์ด WordPress เลือกเมนู MalCare
3. ใส่อีเมลและกด Secure Site Now

MalCare จะเริ่มสแกนเว็บไซต์ทั้งหมดรวมถึงธีม หากพบไวรัส จะแจ้งเตือนทันที

นอกจาก MalCare ยังมีสแกนเนอร์อื่นๆ เช่น Wordfence, Quttera, BulletProof Security, Sucuri, iThemes Security เป็นต้น

2. สแกนธีมก่อนติดตั้ง

มี 2 วิธี:

1. สร้าง Staging Site ติดตั้งธีม แล้วสแกนด้วยปลั๊กอิน (น่าเชื่อถือ)
2. อัปโหลดธีมไปสแกนเนอร์ออนไลน์ (ไม่น่าเชื่อถือ)

สแกนเนอร์ออนไลน์ฟรีส่วนใหญ่น่าเชื่อถือไม่ได้ เพราะตรวจเฉพาะโค้ดที่เห็นบนเบราว์เซอร์ ในขณะที่มัลแวร์มักซ่อนอยู่ลึก เครื่องมือสแกนเฉพาะทางอย่าง MalCare จึงจำเป็น

ก. สแกนธีมก่อนติดตั้งด้วยปลั๊กอิน (แนะนำ)

ขั้นตอนสรุป:

1. สร้าง Staging Site (โคลนเว็บจริง)
2. ติดตั้งธีมบน Staging Site
3. เปิดใช้งานปลั๊กอินความปลอดภัยและรันสแกน

ขั้นตอน 1: สร้าง Staging Site

1. ดาวน์โหลดและติดตั้ง BlogVault บนเว็บไซต์
2. จากแดชบอร์ด WordPress เลือก BlogVault ใส่อีเมล กด Get Started

3. BlogVault จะขอสร้างบัญชี ใส่รหัสผ่าน
4. เพิ่มเว็บไซต์ไปที่แดชบอร์ด BlogVault กด Add

5. BlogVault จะสำรองข้อมูลเว็บไซต์ รอจนเสร็จ
6. ที่แดชบอร์ด BlogVault คลิก Sites เลือกเว็บไซต์ของคุณ

7. เลื่อนลงส่วน Staging คลิก Add Staging > Submit BlogVault จะสร้าง Staging Site

8. Staging Site พร้อม จะได้ Username และ Password จดไว้ดีๆ จะใช้ในขั้นตอนต่อไป

9. คลิก Visit Staging Site เปิดในแท็บใหม่

10. ใส่ Username/Password ที่จดไว้ (Staging Site มีการป้องกันด้วยรหัสผ่าน)

11. เข้าถึง Staging Site ได้แล้ว เพิ่ม /wp-admin/ ท้าย URL เพื่อเข้าหน้าล็อกอิน

12. ล็อกอิน Staging Site ด้วยข้อมูลเดียวกับเว็บจริง

ขั้นตอน 2: ติดตั้งธีมบน Staging Site

ติดตั้งธีมบน Staging Site เหมือนเว็บจริง: แดชบอร์ด WordPress > Appearance > Themes > อัปโหลดธีม

ขั้นตอน 3: ติดตั้ง MalCare บน Staging Site และรันสแกน

วิธีใช้ MalCare เหมือนส่วน "สแกนธีมที่ติดตั้งแล้ว" ดูขั้นตอน ที่นี่

> สแกนธีมด้วยตนเอง (Manual Scan)

หลายคนไม่อยากติดตั้งปลั๊กอินเพิ่ม (เพราะต้องดูแลมากขึ้น) ลองสแกนด้วยตนเองดีไหม?

ตรงไปตรงมา: สแกนด้วยตนเองไม่มีประสิทธิภาพ ไฟล์เยอะมาก พื้นที่กว้างมาก คุณจะพลาดมัลแวร์แน่ๆ นอกจากนี้ หากไม่ใช่โปรแกรมเมอร์มืออาชีพ วิธีนี้ล้มเหลวแน่ เพราะยากมากที่จะแยกโค้ดดี/โค้ดเลว

แต่หากยังอยากลอง อ่านบทความนี้: How to Perform a Manual Malware Scan?

หากพบมัลแวร์ ให้ทำความสะอาดทันที! ยิ่งทิ้งนาน ยิ่งแพร่ระบาดและทำลายเว็บไซต์

วิธีทำความสะอาดธีม WordPress ที่ติดมัลแวร์

หากใช้ MalCare สแกน สามารถใช้ MalCare ทำความสะอาดได้เช่นกัน

1. ทำความสะอาดธีมที่ติดตั้งแล้ว

1. เปิดแดชบอร์ด MalCare เลือกเว็บไซต์
2. หน้าถัดไป ส่วน Security คลิก Auto-Clean MalCare จะทำความสะอาดอัตโนมัติ

ใช้เวลาเพียงไม่กี่นาที

หมายเหตุ: Auto-Clean เป็นบริการพรีเมียม ต้องอัปเกรด ราคา $99/ปี สำหรับ 1 เว็บไซต์ สามารถทำความสะอาดได้ไม่จำกัดครั้ง ดูรายละเอียด MalCare Pricing

2. ทำความสะอาดธีมก่อนติดตั้ง

หากธีมที่จะติดตั้งติดมัลแวร์ ควรหาธีมอื่นมาใช้แทน

ธีมมัลแวร์มาจากอินเทอร์เน็ต อาจเป็นผู้ขายฝังไว้เพื่อแฮกเว็บคุณภายหลัง หรือผู้ขายไม่รู้ (แต่คุณภาพสินค้าอื่นๆ ก็ไม่น่าเชื่อถือ)

แม้ทำความสะอาดเสร็จและติดตั้ง ยังคงเสี่ยง หากโค้ดธีมเขียนแย่ แฮกเกอร์จะหาช่องโหว่โจมตีได้ง่าย

• ซื้อธีมมา? ขอคืนเงิน
• โหลดฟรี? อย่าใช้มาร์เก็ตเพลสนั้นอีก
• โหลดธีมจาก WordPress Repository หรือมาร์เก็ตเนมต์ดังๆ เช่น ThemeForest, ElegantThemes, MyThemeShop, AThemes เป็นต้น

> ทำความสะอาดธีมด้วยตนเอง

เหมาะสำหรับนักพัฒนาถือครอง อย่างไรก็ตาม แม้ WordPress Pro 10+ ปี ก็ไม่กล้าลบโค้ดเอง

ฟังก์ชัน PHP บางตัว เช่น eval, base64_decode, gzinflate ไม่ใช่มัลแวร์โดยค่าเริ่มต้น ปลั๊กอินหลายตัวใช้ฟังก์ชันเหล่านี้ หากลบโค้ดที่ถูกต้อง เว็บจะพัง

หากยังอยากลอง อ่านคู่มือ: Cleaning WordPress Theme Hacked

ถ้าทำครึ่งทางแล้วเลิก ใช้ MalCare ทำความสะอาดดีกว่า

ตราบใดที่คุณยังใช้ WordPress ต้องป้องกันเว็บจากธีมมัลแวร์ มีขั้นตอนพื้นฐาน แต่ก่อนจะไปถึงนั้น เรามาดูผลกระทบของธีมติดมัลแวร์ก่อน

ผลกระทบของธีม WordPress ที่ติดมัลแวร์ต่อเว็บไซต์

การติดตั้งธีมมัลแวร์อาจนำไปสู่ภาวะวิกฤต ส่งผลเสียต่อธุรกิจและรายได้

1. ผลกระทบโดยตรง

เมื่อแฮกเกอร์ติดมัลแวร์ พวกเขาทำสิ่งต่อไปนี้:

• ขโมยผู้เยี่ยมชม: Redirect ไปเว็บฟิชชิ่ง ขโมยข้อมูลส่วนตัว หรือเว็บโป๊/ขายของปลอม
• ขโมยข้อมูล: ขโมยข้อมูลล็อกอิน บัตรเครดิต ข้อมูลลูกค้า ขายหรือใช้ต่อในแผนร้ายอื่นๆ
• แทรกโฆษณาไม่พึงประสงค์: ขโมยพื้นที่โฆษณา แสดงโฆษณาของตัวเอง นำไปสู่เว็บอันตราย

2. ผลกระทบต่อ SEO

• เว็บช้า: แฮกเกอร์ใช้ทรัพยากรเซิร์ฟเวอร์ ทำให้เว็บช้าลง
• อันดับ SEO ตก: ความเร็วเว็บเป็นปัจจัย排名 Google ตรวจพบเว็บช้า = อันดับตก + ผู้เยี่ยมชมถูก Redirect = ไทม์แทรกล้ม
• Google Blacklist: Google ค้นหาโค้ดอันตราย = บล็อกลิสต์เว็บ/ระงับ Google Ads แสดงเตือนผู้เยี่ยมชม อ่านเพิ่ม: Google Blacklist Removal

3. โฮสติ้งระงับบัญชี

โฮสติ้งตรวจพบมัลแวร์ = ระงับบัญชี ปิดเว็บ เพราะแฮกเกอร์ใช้ทรัพยากรเซิร์ฟเวอร์ ทำให้เกินโควตา และช้าลง บน Shared Hosting อาจล้มเว็บอื่นบนเซิร์ฟเวอร์เดียวกัน โฮสบางแห่งมีนโยบายเข้มงวด อาจแบนถาวรหากโดนแฮกหลายครั้ง

4. ภาพลักษณ์และชื่อเสียงแบรนด์

ผู้เยี่ยมชมโดนหลอกลวงบนเว็บคุณ = เสียความไว้วางใจในแบรนด์ อาจไม่กลับมาอีก

ดังนั้น ใช้เฉพาะธีมจากแหล่งน่าเชื่อถือเท่านั้น มาสแกนธีม WordPress หาโค้ดอันตรายกันเลย

วิธีป้องกันธีมจากการติดมัลแวร์

หลังทำความสะอาดธีมแล้ว ต้องรับรองว่าไม่ติดมัลแวร์อีก นี่คือขั้นตอน:

1. ใช้ธีมจากแหล่งน่าเชื่อถือเท่านั้น

แหล่งน่าเชื่อถือ: WordPress Theme Repository, ThemeForest, Mojo Themes, Creative Themes, ThemeSnap, WP Eden, InkTheme, DMartify, AppThemes เป็นต้น

มาร์เก็ตเพลสเหล่านี้คัดกรองนักพัฒนาและมีนโยบายเข้มงวด หลีกเลี่ยงธีมพีรียัด (Pirated/Nulled) เพราะมักฝังมัลแวร์ ธีมพรีเมียมแพง แต่มีธีมฟรีดีเยอะ

2. สแกนธีมเสมอก่อนติดตั้ง

แม้โหลดจากแหล่งน่าเชื่อถือ ก็ควรสแกนก่อนติดตั้ง ใช้เครื่องมือออนไลน์อัตโนมัติ เช่น VirusTotal สแกนไฟล์ในไม่กี่วินาที ยืนยันปลอดภัยค่อยติดตั้ง

3. ปิดใช้งาน Theme Editor

Theme Editor เข้าถึงได้จากแดชบอร์ด WordPress หากแฮกเกอร์เข้าเว็บได้ พวกเขาจะโจมตี Theme Editor ก่อน เพราะเข้าถึงไฟล์ WordPress ได้โดยตรง ใช้สร้าง Backdoor ให้เข้าถึงลับๆ หากไม่ใช้ฟีเจอร์นี้ ปิดไว้ดีกว่า ทำได้ 2 วิธี:

• ใช้ปลั๊กอิน MalCare Security
  • เข้าสู่แดชบอร์ด MalCare เลือกเว็บไซต์
  • ไปที่ Security > WordPress Hardening
  • คลิกปิด File Editors จะปิด Theme และ Plugin Editors บนแดชบอร์ด
• แก้ไขไฟล์ wp-config.php เอง (เสี่ยง)
  • สำรองข้อมูลเว็บไซต์ก่อน! ผิดเล็กน้อยเว็บพัง
  • เข้าควบคุมโฮสติ้ง > cPanel > File Manager > Public_html
  • หา wp-config.php คลิกขวา Edit
  • วางโค้ดนี้ ก่อนบรรทัด /* That's all, stop editing! Happy publishing. */:

define( 'DISALLOW_FILE_EDIT', true );

Theme Editor จะถูกปิดบนแดชบอร์ด WordPress

อ่านเพิ่ม: Protecting your WordPress Site using WP-Config file

4. ลบธีมที่ไม่ได้ใช้งาน

เจ้าของเว็บมักติดตั้งธีมหลายตัวลองใช้ แล้วลืมลบ ธีมที่ไม่ได้ใช้ (Inactive) ก็ยังเป็นช่องโหว่ให้แฮกเกอร์ ควรเก็บเฉพาะธีมที่ใช้งานอยู่ ลบอื่นๆ ทิ้ง

หลังทำขั้นตอนเหล่านี้ เรามั่นใจว่าธีม WordPress ของคุณปลอดภัยแล้ว

ต่อไปควรทำอะไร?

เรามั่นใจว่าถ้าปฏิบัติตามขั้นตอนตรวจสอบความปลอดภัยธีมข้างต้น ธีมของคุณจะปลอดภัยจากมัลแวร์

แต่การรักษาความปลอดภัยเฉพาะธีมไม่เพียงพอต่อการป้องกันการโจมตีแฮก

ต้องรักษาความปลอดภัยเว็บไซต์ทุกมุม เรามีบทความช่วยคุณ: WordPress Security Guide

คู่มือนั้นครอบคลุมมาตรการหลายอย่าง บางอย่างบังคับ บางอย่างควรมี

มาตรการสำคัญที่สุด: ติดตั้งปลั๊กอินความปลอดภัย WordPress เช่น MalCare

• วางไฟร์วอลล์ระหว่างเว็บและトラฟฟิกเข้า
• ป้องกันหน้าล็อกอินจาก Brute Force
• สแกนเว็บทุกวัน ทำความสะอาดทันทีหากโดนแฮก
• เปิดใช้งาน Site Hardening ป้องกันการโจมตี

ติดตั้ง MalCare Security Service ทันที!