Hacket WordPress-hjemmeside: de første 5 ting, du skal gøre – og hvad der sker bagefter

En hacket side ser ikke altid hacket ud

Mange forestiller sig, at en hacket hjemmeside er nem at genkende: en forside, der er skiftet ud, eller en side, der ikke virker. Sådan ser det sjældent ud. I en sag, vi håndterede i 2026, så hjemmesiden helt normal ud for ejeren. Problemet blev først opdaget, fordi en af virksomhedens kunder søgte efter firmaet på Google, klikkede på resultatet – og endte på en spam-side.

Google skriver det samme i sin vejledning til ejere af hackede sider: angreb er ofte usynlige for brugerne. Det er derfor, det kan gå længe, før nogen reagerer.

Tegn på, at din side kan være hacket

• Sider på andre sprog eller med spam dukker op, når du søger på dit domæne i Google.
• Besøgende bliver sendt videre til andre hjemmesider – ofte kun, når de kommer fra Google.
• Google eller browseren viser en advarsel om siden.
• Der er administratorer eller filer i WordPress, som ingen kender.
• Hostingudbyderen har lukket eller begrænset siden, eller siden sender spam-mails.

Et hurtigt tjek: Søg på site:ditdomæne.dk i Google. Ser du sider, du ikke selv har lavet, er det et alvorligt tegn.

De første 5 ting, du selv skal gøre

• Skift adgangskoder til WordPress, hosting, FTP og database – og helst fra en computer, du stoler på.
• Tjek brugerlisten i WordPress for administratorer, du ikke kender.
• Tag en kopi af siden, som den er nu. Slet ikke filer i blinde – du kan komme til at slette både beviser og noget, siden har brug for.
• Begræns skaden: Sendes besøgende videre, eller sender siden spam, så bed hostingudbyderen om at sætte siden i vedligeholdelsestilstand, til den er renset. Google kalder det at sætte siden i karantæne.
• Få adgang til Google Search Console. Her kan du se, om Google har fundet sikkerhedsproblemer, og det er også her, du til sidst beder om en ny gennemgang.

Sådan foregår en oprydning – Googles anbefalede rækkefølge

Google har en officiel vejledning til ejere af hackede sider. Kort fortalt er rækkefølgen: isolér siden, få hjælp, brug Search Console, vurder omfanget, find sårbarheden, ryd op og vedligehold – og anmod til sidst om en ny gennemgang. Et par af rådene er værd at fremhæve:

• Gendan kun fra en backup, du ved er lavet, før siden blev hacket.
• Installer software rent i stedet for blot at opdatere. Ifølge Google kan en opdatering efterlade filer fra den gamle version.
• Sider, som angriberne har oprettet, skal fjernes og svare med fejlkoden 404, så de efterhånden forsvinder fra Googles indeks. Haster det, kan de fjernes midlertidigt med værktøjet til fjernelse af webadresser i Search Console.
• Skift alle adgangskoder igen, når oprydningen er færdig.

Hvor lang tid det tager, før Google har behandlet en anmodning om gennemgang, afhænger af problemet. Google skriver, at en side, der er hacket med spam, kan tage op til flere uger, mens malware typisk tager et par dage. Bliver anmodningen godkendt, forsvinder advarslerne ifølge Google inden for 72 timer. Du kan læse vejledningen hos Google: Help, I think I've been hacked og Request a review.

Sådan gjorde vi i en konkret sag

Det her er, hvad vi selv gjorde i sagen fra 2026 – to søstersider for den samme virksomhed. Kunden er anonymiseret.

• Vi analyserede databasen og filerne og fandt skadelig kode, ukendte filer og spam-sider, der var indekseret i Google med omdirigeringer.
• Vi fjernede de skadelige filer og alt det, angriberne havde tilføjet.
• Vi skiftede alle adgangskoder og adgange.
• Vi installerede et sikkerhedsplugin, der holder øje med ændringer i filerne.
• Til sidst bad vi Google om at gennemgå og indeksere siderne igen.

Selve oprydningen tog omkring et døgn i den sag. Det er ikke et løfte om, hvor lang tid enhver oprydning tager – det afhænger af, hvor dybt angrebet sidder.

Vi kunne ikke bevise præcis, hvordan angriberne var kommet ind. Vores vurdering ud fra analysen var, at det sandsynligvis var gennem plugins, der ikke var blevet opdateret. Temaet var heller ikke opdateret i mange år, så siden skulle bagefter over på et moderne fundament, der kan holdes opdateret. Læs hele casen.

Derfor sker det – og sådan undgår du det næste gang

De fleste huller i WordPress sidder ikke i WordPress selv, men i plugins og temaer. Sikkerhedsfirmaet Patchstack registrerede 11.334 nye sårbarheder i WordPress-økosystemet i 2025: 91 % i plugins, 9 % i temaer og kun 6 i selve WordPress. Kilde: Patchstack, State of WordPress Security in 2026.

Opdateringer lukker mange af de kendte huller. En side, der ikke bliver opdateret, kører videre med dem. Derfor er den bedste beskyttelse ikke ét sikkerhedsplugin, men at nogen løbende holder WordPress, plugins og tema opdateret, fjerner det, der ikke bruges, tager backup og holder øje. Det kan du gøre selv – eller lade os gøre. Læs mere om, hvorfor automatiske opdateringer ikke er nok.