2026.10.16

WordPress 網站出現可疑登入或檔案？用 Wordfence 做一次基本檢查

當管理員收到可疑登入通知、後台出現陌生管理員帳號、WordPress 檔案的修改時間與維護時程不符，或網站突然把訪客轉到不明頁面時，不要急著刪除檔案或重置所有帳號。這些現象可能代表帳號遭盜用、外掛或佈景主題存在漏洞，也可能只是快取、備份還原或正常更新造成的誤判。本文以 Wordfence 做一次基本檢查，協助公司基礎資訊人員與 WordPress 維護者先保存線索，再決定是否隔離與升級處理。

先確認症狀，並保留現場

管理員收到不認得的登入通知，或登入地點、時間與使用者行為不符。
使用者列表出現陌生管理員、編輯者或其他高權限帳號。
WordPress 核心、外掛、佈景主題或 uploads 目錄中的檔案，出現不合理的修改時間。
首頁、特定文章或手機訪客被重新導向到不明網域。
搜尋引擎結果、網站標題、廣告或後台設定突然被改動。

開始前，先確認仍有可用的管理員復原方式，例如另一個已驗證的管理員帳號、主機商控制台、SFTP 或主機層級的網站備份。若網站疑似正在被利用，應先通知相關人員，避免反覆登入、更新或刪檔覆蓋證據。

先備份、截圖並保存時間點，再處理問題。掃描結果是線索，不是可以直接執行刪除的清單。

安裝 Wordfence 並執行基本掃描

請從 Wordfence Security 官方外掛頁面安裝外掛。建議先確認網站備份可用、記下目前 WordPress 與外掛版本，並在維護時段執行掃描。安裝後依畫面完成授權信箱設定；免費版與付費版的掃描項目、即時防護與資料保留期間可能不同，請以目前介面顯示為準。

在 WordPress 後台開啟「外掛」→「安裝外掛」，搜尋 Wordfence Security，確認作者為 Wordfence。
啟用後進入「Wordfence」→「Scan」，先查看掃描設定，不要在不理解結果時直接套用自動修復。
按下開始掃描，等待掃描完成；網站檔案數量較多時，可能需要較長時間，避免中途停用外掛或關閉主機工作。
若主機資源不足、掃描逾時或顯示連線錯誤，先保存畫面與錯誤訊息，再請主機商確認 PHP 記憶體、執行時間、WAF 或主機限制。

若網站已明顯遭到轉址、持續產生陌生帳號，或掃描本身可能影響服務，應優先請主機商協助隔離網站，例如暫時限制對外連線或切換維護頁面。隔離方式必須配合主機環境與營運需求，不要只靠在 WordPress 內刪除一個檔案來判定已經安全。

閱讀掃描結果：先分類，再判斷

掃描完成後，依嚴重程度與項目內容逐筆記錄。可將結果整理成「檔案內容疑似被修改」、「核心或外掛版本落後」、「檔案位置不尋常」、「設定或帳號異常」四類，並記下檔案路徑、檔案雜湊或比較結果、首次發現時間與處理人員。

檔案變更：Wordfence 可能將目前檔案與官方版本比較。先確認檔案是否屬於正在使用的外掛、佈景主題或自訂程式，再與相同版本的乾淨來源比對。
疑似惡意程式碼：掃描器可能因混淆程式碼、壓縮程式、合法的載入器或自訂安全功能而誤判。不要只因出現可疑關鍵字就刪除。
版本漏洞：這類結果通常需要確認相容性、備份與更新順序；漏洞警告不一定代表網站已被入侵，但表示應降低暴露風險。
未知檔案：先判斷是部署工具、快取、備份、主機管理程式或網站功能產生的檔案，再與版本控制、SFTP 紀錄或主機商資料交叉比對。

若判定為誤判，可在 Wordfence 結果中查看詳細說明並記錄判斷理由；不要為了讓清單變乾淨而忽略警告。對自訂外掛、客製化佈景主題或公司自行放置的 PHP 檔案，最好由熟悉程式碼的人員檢查內容，並以乾淨備份或正式版本進行比對。

檢查登入與流量線索

在 Wordfence 的登入安全與流量相關頁面，查看近期登入、失敗登入、被封鎖的請求，以及疑似爬蟲或掃描行為。將可疑事件與 WordPress 使用者列表、主機存取日誌、反向代理或 CDN 紀錄對照，特別留意管理員登入後是否立即新增帳號、修改網址設定、安裝外掛或變更轉址規則。

記錄事件的 UTC 或主機時區、IP 位址、使用者名稱、請求路徑與 User-Agent。
確認同一個帳號是否從不常見的地點或時間登入，以及是否伴隨密碼重設或權限變更。
檢查是否有大量嘗試登入、探測 wp-login.php、xmlrpc.php 或不存在的外掛路徑。
把 Wordfence 的紀錄與主機 access log、錯誤日誌及 CDN 日誌保存成唯讀檔案，避免後續輪替覆蓋。

事件時間：____（時區：____）
來源 IP：____
使用者／請求路徑：____
Wordfence 結果：____
主機或 CDN 日誌檔名：____
目前處置與負責人：____

不要因為看見單一可疑 IP 就直接封鎖整段網路或大範圍國家／地區。共享 IP、行動網路、公司 NAT 與代理服務都可能造成誤判；封鎖前應確認請求內容、頻率、是否仍在持續，以及封鎖是否會影響正常使用者。

保存紀錄後，才進行復原與加固

至少保存目前網站檔案與資料庫備份、Wordfence 掃描摘要與詳細結果、使用者列表、設定變更、主機與 CDN 日誌，以及處理前後的時間軸。備份應存放在網站主機以外，並實際確認可以還原；只下載一個壓縮檔但沒有驗證，不代表備份可用。

若有已知乾淨備份，先在隔離環境還原並測試，再規劃正式環境復原。
對疑似被修改的核心、外掛或佈景主題，優先從可信來源重新部署或以乾淨版本比對，不要直接刪除而失去分析線索。
移除陌生帳號前，先記錄帳號名稱、電子郵件、角色、建立時間與相關內容；確認不是系統整合或外包人員使用的帳號。
在確認入侵範圍後，分批重設管理員、主機、資料庫、SFTP、SSH、CDN 與 API 憑證，並啟用多因素驗證。
更新 WordPress 核心、外掛與佈景主題前，先確認相容性、備份與回復流程。

若有持續轉址、陌生 PHP 檔案、管理員權限被重新取得、資料外洩疑慮，或主機上有多個網站同時異常，應立即隔離網站並請主機商或資安人員協助。Wordfence 外掛掃描只能觀察 WordPress 可讀取的範圍，不能取代主機層級的惡意程式分析、記憶體或程序檢查、帳號稽核，以及其他網站或主機使用者的調查。