Langkah Penanganan Pertama Saat Website WordPress Terkena Malware

Mengetahui website WordPress tiba-tiba dialihkan (redirect) ke situs spam, menampilkan peringatan merah dari Google Safe Browsing, atau dipenuhi script berbahaya merupakan situasi darurat. Kepanikan sering kali membuat pengelola website bertindak tergesa-gesa dengan langsung menghapus berkas secara acak atau mengunggah plugin scanner tambahan yang justru memberatkan beban CPU server yang sedang kritis.

1. Isolasi Akses Website dan Aktifkan Maintenance Mode

Langkah pertama yang harus dilakukan bukanlah membersihkan script, melainkan menghentikan penyebaran infeksi dan melindungi pengunjung dari pencurian data atau malware unduhan:

• Pasang halaman pemeliharaan (maintenance mode) statis berbasis HTML pada root direktori agar pengunjung tidak terpapar tautan phishing.
• Jika Anda menggunakan Cloudflare atau Web Application Firewall (WAF), aktifkan mode “Under Attack” atau batasi akses panel login /wp-login.php hanya untuk IP internal pengelola.
• Ganti seluruh kredensial krusial segera: password cPanel/server, akun SFTP/SSH, database MySQL (sesuaikan di wp-config.php), serta password seluruh akun administrator WordPress.

2. Buat Cadangan (Backup) Forensik Lengkap

Meskipun berkas dan database sedang terinfeksi, backup darurat wajib dibuat sebelum Anda memodifikasi atau menghapus apa pun. Arsip forensik ini menjadi jaring pengaman utama jika proses pembersihan tidak sengaja merusak konfigurasi database khusus atau tema kustom yang tidak memiliki salinan lain.

3. Verifikasi Integritas File Inti dengan WP-CLI

Peretas sering kali menyisipkan script pintu belakang (backdoor) ke dalam berkas bawaan WordPress. Jika Anda memiliki akses terminal server atau SSH, verifikasi berkas inti secara otomatis menggunakan perintah resmi WP-CLI:

wp core verify-checksums
wp plugin verify-checksums --all

Perintah ini akan mencocokkan hash setiap berkas lokal dengan repositori resmi WordPress.org. Berkas yang ditandai tidak cocok wajib diganti langsung dengan salinan bersih bawaan versi WordPress yang bersangkutan.

4. Periksa Direktori Rawan Injeksi Backdoor

Sebagian besar malware WordPress modern bersembunyi pada area yang memiliki hak tulis publik:

• Direktori wp-content/uploads/: Direktori ini seharusnya hanya memuat format media gambar, audio, dan dokumen. Jika ditemukan berkas berekstensi .php, .ico palsu, atau berkas tersembunyi dengan nama acak, hampir dapat dipastikan itu adalah script webshell.
• Berkas wp-config.php dan .htaccess: Periksa baris awal berkas. Peretas kerap menyisipkan kode terenkripsi seperti eval(base64_decode(...)) atau aturan RewriteRule tersembunyi yang hanya memicu redirect jika pengunjung datang dari bot mesin pencari.
• Berkas functions.php tema: Pastikan tidak ada fungsi yang menyematkan hooks berbahaya seperti user_register otomatis tanpa izin.

5. Audit Database dan Akun Administrator Siluman

Malware tingkat lanjut kerap menambahkan akun admin baru langsung ke tabel wp_users dan wp_usermeta. Buka phpMyAdmin atau database manager, lalu periksa apakah ada pengguna asing dengan peran administrator. Selain itu, periksa tabel wp_options pada bagian opsi siteurl dan home untuk memastikan URL target tidak dimanipulasi.

Catatan Keamanan: Jangan mengunggah plugin bajakan atau versi nulled. Berdasarkan data teknis di lapangan, lebih dari 80 persen kasus serangan berulang bersumber dari celah backdoor yang sengaja disematkan di dalam tema dan plugin ilegal tersebut.

6. Regenerasi Salt Keys dan Ajukan Review

Setelah seluruh berkas dan database bersih, perbarui Secret Keys (Salts) pada wp-config.php melalui generator resmi WordPress API untuk memutus seluruh sesi login lama. Terakhir, ajukan peninjauan ulang keamanan (Security Review) melalui Google Search Console untuk menghapus label peringatan merah pada hasil pencarian.