Wordpress gehackt

  • Hallo,

    bei mir wurde leider eine WordPress-Seite gehackt.

    WordPress selbst war auf dem aktuellen Stand, daher vermute ich die Ursache in einem veralteten Plugin.

    Ich habe daraufhin alle Dateien gelöscht. Zwei Dateien lassen sich jedoch nicht entfernen. Wenn ich den Ordner httpdocs lösche und anschließend neu anlege, werden diese zwei Dateien automatisch wieder erstellt:


    Screenshot 2026-01-08 161544.png

    Egal, was ich versuche, die beiden Dateien sind sofort wieder vorhanden.

    Der netcup-Support reagiert bisher leider kaum bzw. sehr langsam. Dadurch ist meine Website nun bereits seit über zwei Tagen offline.

    Was kann ich am besten machen?

  • Alle Cronjobs sind deaktiviert. Das ergibt meiner Meinung nach keinen Sinn, da die Dateien sofort wieder vorhanden sind und nicht erst nach einer bestimmten Zeit.


    Wenn ich die Rechte der Dateien ändere, werden diese unmittelbar wieder zurückgesetzt.

  • Ich würde die Passwörter des zugehörigen Hosting Accounts, FTP Zugänge und die der zugehörige Datenbank ändern (besser die Datenbank gleich löschen).

    Wenn du allerdings das Wordpress für diese Domain im Plesk gelöscht hast: Gibt es noch andere Projekte/Wordpress Domains auf diesem Hosting? Dann sind eventuell auch diese kompromittiert und das erstellen der Datei kommt daher.

    Einmal editiert, zuletzt von SN7404 (8. Januar 2026 um 17:40) aus folgendem Grund: Edit: Zusatzinfo andere Projekte

  • Es könnte sich um dieses Problem handeln:

    Abuse - Vorgang - netcup Kundenforum
    Hi zusammen, ich bin frisch umgezogen zu netcup und habe heute mittag eine Abuse-Meldung erhalten sowie eine vollständige Sperrung meines Accounts. Das…
    forum.netcup.de

    Du musst auch aufpassen, dass das Webhosting nicht gesperrt wird. Eventuell mal eine .htaccess hinlegen, die nur deine eigene IP erlaubt und dann in Ruhe weiterforschen.

  • Ich kann mir das gerne morgen mal anschauen. Bei Interesse einfach per PN anschreiben.

    Danke für das Angebot. Leider wurde mein Account gestern von netcup gesperrt - jedoch nicht aufgrund des Hacks, sondern wegen angeblichem Spam-Versand.

    Dabei handelt es sich jedoch nicht um Spam, sondern um automatisch generierte E-Mails von Plesk.

    Diese wurden versendet, weil ein Cronjob noch aktiv war (den hatte ich aber schon 2 Tage nicht mehr aktiv gehabt), dessen Dateien ich zuvor im Zuge der Bereinigung vollständig gelöscht hatte. Da der Cronjob die Ziel-Datei nicht mehr finden konnte, hat Plesk entsprechende Fehlermeldungen per E-Mail verschickt.

  • Ärgerlich, hatte ich auch schon einmal. Bei mir war es auch ein plugin. Ich habe dann mit Wordfence (kostenlose Version) alles gescannt und gefundene Probleme beheben lassen oder entfernt. Dateien per FTP Zugang gelöscht, die noch befallen waren und als kritisch eingestuft wurden und nicht behoben werden konnten. Dann noch ein 2FA beim Login und seit dem keine Probleme mehr. Wordfence ist weiterhin aktiviert und meldet sich per Email falls es ein update gibt oder Fehler gefunden werden. Seit 2 Jahren keine Probleme mehr.