موقع ووردبريس يحوّل الزوار لموقع سبام: السبب والحل

عميل يكلمك ويقول “الموقع بيفتح على موقع قمار”، وإنت تفتحه من اللابتوب تلاقيه سليم تمامًا. مش بيتهيأ له، والموقع غالبًا مخترق فعلًا. المشكلة إن الكود الخبيث مصمم مخصوص عشان يستخبى منك إنت.

لماذا لا ترى التحويل بنفسك؟

المخترق يريد أن يستمر التحويل أطول فترة ممكنة، فيخفيه عن صاحب الموقع. أشهر الشروط التي يضعها الكود:

• يحوّل فقط من يأتي من نتائج بحث جوجل.
• يحوّل فقط زوار الهواتف.
• يحوّل في الزيارة الأولى فقط ثم يتوقف.
• لا يحوّل أبدًا إذا كنت مسجل الدخول في ووردبريس.

لاختبار ذلك، استخدم هاتفك على بيانات الجوال لا على شبكة المكتب، وافتح نافذة تصفح خفي، ثم ابحث عن موقعك في جوجل وادخل من نتيجة البحث.

أين يختبئ كود التحويل عادةً؟

هذا الجدول هو خريطة التفتيش. لا تكتفِ بأول مكان تجد فيه الكود، فالمخترق غالبًا يزرعه في أكثر من مكان.

أوامر سريعة للبحث عن الكود الخبيث

إذا كانت لديك صلاحية SSH أو Terminal في cPanel، فهذه الأوامر تختصر عليك ساعات. شغّلها من مجلد الموقع الرئيسي:

# Find obfuscated PHP patterns
grep -rlE "eval(|base64_decode(|gzinflate(|str_rot13(" --include=*.php .

# PHP files should never live inside uploads
find wp-content/uploads -name "*.php"

# Files changed in the last 7 days
find . -type f -name "*.php" -mtime -7

ومع WP-CLI تستطيع التحقق من سلامة ملفات النواة وقراءة عنوان الموقع من قاعدة البيانات مباشرة:

wp core verify-checksums
wp option get siteurl
wp option get home
wp user list --role=administrator

تنبيه: ليست كل نتيجة لـ base64_decode خبيثة، فبعض الإضافات الشرعية تستخدمها. ركّز على الملفات غير المألوفة، والسلاسل الطويلة غير المقروءة، والملفات المعدلة حديثًا دون سبب.

خطوات التنظيف الصحيح

حذف سطر التحويل وحده لا يكفي. الباب الخلفي (Backdoor) الذي أضافه يجب أن يُزال أيضًا، وإلا سيعود التحويل خلال أيام. اتبع هذا الترتيب:

1. خذ نسخة احتياطية كاملة من الملفات وقاعدة البيانات قبل أي تعديل، حتى لو كانت مصابة.
2. غيّر كل كلمات المرور: ووردبريس، وقاعدة البيانات، وcPanel، وFTP، واحذف أي مستخدم مدير لا تعرفه.
3. استبدل نواة ووردبريس بنسخة نظيفة، وأعد تثبيت الإضافات والقوالب من مصادرها الرسمية فقط.
4. فتّش قاعدة البيانات عن وسوم <script> ونطاقات خارجية لا تعرفها، وتحقق من خياري siteurl وhome.
5. راجع .htaccess وكل ملف PHP داخل مجلد uploads، ثم حدّث كل شيء واحذف الإضافات غير المستخدمة.
6. اطلب مراجعة في Google Search Console إذا كان جوجل قد أظهر تحذيرًا على موقعك.

خطوة ينساها كثيرون: باقي المواقع على نفس الحساب

في مصر والخليج، من الشائع أن يضع المستقل أو صاحب الشركة عدة مواقع على حساب استضافة مشتركة واحد بـ cPanel. إذا أُصيب موقع واحد، فالأرجح أن البقية مصابة أو ستُصاب، لأنها تتشارك نفس المستخدم على الخادم.

لذلك نظّف كل المواقع على الحساب في نفس اليوم. واحذف أي موقع تجريبي قديم أو نسخة مهملة مثل old أو test، فهي غالبًا نقطة الدخول الأولى لأن أحدًا لا يحدّثها.

مع Elementor Pro: إذا كنت تستخدم نسخة “nulled” من Elementor Pro أو أي إضافة مدفوعة من موقع مجهول، فهي من أشهر مصادر الأبواب الخلفية. استبدلها بنسخة مرخصة من الموقع الرسمي، حتى لو كانت تعمل ظاهريًا.

الأسئلة الشائعة

س: لماذا يحدث التحويل على الموبايل فقط؟
ج: لأن كثيرًا من سكربتات التحويل تفحص نوع الجهاز أو مصدر الزيارة عمدًا، فصاحب الموقع الذي يتصفح غالبًا من الكمبيوتر وهو مسجل الدخول لا يرى شيئًا.

س: حذفت الكود فرجع مرة أخرى، لماذا؟
ج: يوجد باب خلفي في مكان آخر يعيد كتابة التحويل، أو موقع آخر مصاب على نفس حساب الاستضافة. التنظيف يجب أن يشمل الملفات وقاعدة البيانات وكل المواقع على الحساب.

س: هل تكفي إضافة أمان مثل Wordfence لتنظيف الموقع؟
ج: إضافات الفحص تساعد في اكتشاف الملفات المصابة، لكنها لا تغني عن استبدال النواة والإضافات بنسخ نظيفة وتغيير كل كلمات المرور.

س: هل يؤثر التحويل الخبيث على ترتيب موقعي في جوجل؟
ج: نعم، قد يضع جوجل تحذيرًا على الموقع أو يخفض ظهوره. بعد التنظيف، اطلب مراجعة أمنية من Google Search Console لرفع التحذير.

الخلاصة

التحويل الخبيث مش مشكلة سطر واحد، دي علامة إن فيه باب مفتوح في موقعك. نضّف الملفات وقاعدة البيانات، اقفل الباب الخلفي، وغيّر كل الباسوردات. وابدأ النهارده بالاختبار من موبايلك على الداتا، يمكن تكتشف حاجة صاحبها مش واخد باله منها.

مرجع المقال (بالإنجليزية): WordPress Site Redirects to a Spam Site: Why It Happens and How to Fix It
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.