Xóa link cá độ WordPress nhưng vài ngày sau lại xuất hiện

Nếu bạn đã xóa link cá độ WordPress, link cờ bạc hoặc nội dung spam khỏi website nhưng vài ngày sau chúng xuất hiện trở lại, khả năng cao website vẫn còn mã độc hoặc một cơ chế duy trì quyền truy cập trái phép. Xóa URL hoặc nội dung spam chỉ xử lý phần biểu hiện, không xử lý nguồn tạo ra chúng.

Mã độc có thể nằm trong file PHP, plugin/theme bị chỉnh sửa, database, tài khoản quản trị, cron hoặc một vị trí khác trên hosting. Vì vậy, việc xóa link liên tục mà không tìm nguyên nhân thường khiến website rơi vào vòng lặp:

Phát hiện → xóa → vài ngày sau xuất hiện → tiếp tục xóa → lại xuất hiện.

Xem các thay đổi bất thường trong file và những dấu hiệu như website bị blacklist, phát tán malware hoặc chuyển hướng độc hại là các Indicators of Compromise (IoC) cần điều tra thay vì chỉ xử lý từng URL.

Dấu hiệu website WordPress đang bị chèn link cá độ

Không phải trường hợp nào bạn nhìn thấy một URL cá độ cũng giống nhau. Cách mã độc chèn nội dung phụ thuộc vào điểm mà kẻ tấn công đã kiểm soát.

Một số dấu hiệu thường gặp:

• Xuất hiện link cá độ, casino, betting, cờ bạc.
• Google index các URL mà bạn chưa từng tạo.
• Nội dung spam chỉ xuất hiện với Googlebot hoặc một số user-agent.
• Link không xuất hiện trong trình soạn thảo WordPress.
• Xóa bài viết nhưng URL lại xuất hiện.
• Xóa file PHP nhưng vài ngày sau file quay trở lại.
• Website tự tạo tài khoản quản trị lạ.
• Xuất hiện plugin không rõ nguồn gốc.
• Có PHP file lạ trong wp-content/uploads.
• Website tự redirect sang trang khác.
• Nội dung spam nằm trong database nhưng không tìm thấy trong giao diện WordPress.
• Source HTML có link nhưng không tìm thấy bằng cách kiểm tra thông thường.

Một trường hợp đặc biệt nguy hiểm là mã độc không hiển thị công khai nhưng chỉ kích hoạt với bot tìm kiếm, khiến chủ website mở trang bình thường không thấy gì bất thường.

Tại sao xóa link cá độ WordPress rồi vài ngày sau lại xuất hiện?

Có một nguyên tắc quan trọng:

Nếu nội dung độc hại liên tục quay trở lại sau khi đã xóa, hãy tìm cơ chế tạo hoặc khôi phục nội dung thay vì tiếp tục xóa từng URL.

Các nguyên nhân phổ biến gồm:

Nguyên nhân	Khả năng xảy ra	Cần kiểm tra
File PHP backdoor/webshell	Cao	File hệ thống, plugin, theme
Plugin/theme bị nhiễm mã độc	Cao	Plugin/theme
Database bị chèn mã độc	Cao	wp_posts, wp_options, wp_postmeta…
Tài khoản quản trị bị chiếm	Cao	Users, administrator
Cron tạo lại nội dung	Trung bình	WP-Cron/server cron
MU-plugin	Trung bình	wp-content/mu-plugins
File trong uploads	Trung bình	PHP và file bất thường
Hosting/server bị xâm nhập	Có thể	Log, user, process, filesystem
Backup đã nhiễm mã độc	Có thể	Backup cũ
Plugin nulled/crack	Cao	Plugin/theme không rõ nguồn

Không nên kết luận nguyên nhân chỉ dựa vào việc nhìn thấy link spam. Cần truy vết từ URL → dữ liệu → code → request → tài khoản → thời điểm phát sinh.

1. Mã độc nằm trong file PHP

Đây là một trong những trường hợp cần kiểm tra đầu tiên.

Kẻ tấn công có thể chèn code vào:

wp-config.php
functions.php
wp-content/plugins/
wp-content/themes/
wp-content/mu-plugins/
wp-content/uploads/

Hoặc tạo thêm các file PHP có tên trông khá bình thường.

Ví dụ:

wp-content/uploads/2026/09/cache.php
wp-content/plugins/xxx/includes/class-update.php
wp-content/mu-plugins/load.php

Điểm nguy hiểm là xóa file tạo ra link chưa chắc đã đủ.

Nếu còn một backdoor khác có quyền ghi file, file đó có thể được tạo lại.

WordPress có cung cấp cơ chế kiểm tra checksum của core để phát hiện file WordPress bị thay đổi. WP-CLI cũng có thể cảnh báo những file bất thường trong các thư mục core.

Có thể kiểm tra WordPress core bằng:

wp core verify-checksums --include-root

Nếu WordPress core bị thay đổi, kết quả có thể cho biết file nào không khớp checksum.

Tuy nhiên, checksum không phải công cụ phát hiện toàn bộ mã độc.

Ví dụ:

• Plugin premium không nằm trên WordPress.org.
• Code custom của website.
• File mới được hacker tạo.
• Code độc hại nằm trong database.

Vì vậy không nên hiểu:

verify-checksums = website sạch

Đó là một kết luận sai.

=> Tham khảo các nhà cung cấp hosting uy tín tại Việt Nam: https://hungwordpress.com/hosting-domain/

2. Plugin hoặc theme bị nhiễm mã độc

Plugin và theme là một trong những vị trí cần kiểm tra kỹ.

Đặc biệt cần chú ý:

• Plugin không còn được cập nhật.
• Plugin tải từ nguồn không rõ ràng.
• Theme/plugin nulled.
• Plugin custom nhưng không được kiểm soát source.
• Plugin bị chỉnh sửa trực tiếp trên server.
• Plugin đã xóa nhưng file vẫn còn.

WP-CLI có lệnh kiểm tra checksum cho plugin được WordPress.org hỗ trợ:

wp plugin verify-checksums --all

WordPress lưu ý rằng những plugin không có checksum trên WordPress.org có thể là plugin custom hoặc plugin premium, do đó việc không kiểm tra được checksum không đồng nghĩa plugin đó là malware.

Đây là lý do quá trình xử lý hack cần kết hợp nhiều nguồn bằng chứng thay vì chỉ dựa vào một plugin bảo mật.

3. Mã độc nằm trong database

Đây là nguyên nhân rất dễ bị bỏ sót.

Bạn có thể kiểm tra:

wp_posts
wp_postmeta
wp_options
wp_terms
wp_termmeta
wp_usermeta

Tùy website, dữ liệu độc hại có thể nằm trong:

• Post content.
• Post meta.
• Widget.
• Option.
• Menu.
• Custom post type.
• SEO metadata.
• Redirect configuration.
• HTML được lưu bởi plugin.
• JavaScript được chèn vào option.

Ví dụ đơn giản:

SELECT ID, post_title 
FROM wp_posts 
WHERE post_content 
LIKE '%casino%';

Hoặc:

SELECT option_name 
FROM wp_options 
WHERE option_value 
LIKE '%casino%';

Nhưng không nên chỉ tìm một từ khóa như:

casino
bet
football

Mã độc có thể được encode, obfuscate hoặc tải nội dung từ một URL bên ngoài.

Vì vậy:

Không tìm thấy từ khóa spam trong database không có nghĩa database sạch.

4. Có tài khoản quản trị bị hacker tạo

Một trường hợp khác là hacker đã tạo hoặc chiếm một tài khoản có quyền cao.

Hãy kiểm tra:

Users → All Users

Đặc biệt chú ý:

• Administrator không rõ nguồn gốc.
• Username bất thường.
• Email không thuộc chủ website.
• Tài khoản được tạo gần thời điểm website bắt đầu xuất hiện spam.
• Tài khoản có quyền cao nhưng không còn người sử dụng.

Có thể kiểm tra bằng WP-CLI:

wp user list

Nếu phát hiện tài khoản đáng ngờ, không nên chỉ xóa tài khoản ngay lập tức rồi kết thúc điều tra.

Hãy ghi nhận:

• ID.
• Username.
• Email.
• Role.
• Thời gian tạo nếu có dữ liệu.
• Các metadata liên quan.

Thông tin này có thể giúp xác định cách hacker duy trì quyền truy cập.

5. Cron có thể đang tạo lại nội dung

WordPress có WP-Cron và server cũng có thể chạy system cron.

Nếu website có một task độc hại, nó có thể thực hiện hành động định kỳ.

Ví dụ:

Cron
 ↓
PHP code
 ↓
Database
 ↓
Tạo nội dung spam
 ↓
Google index

Bạn có thể kiểm tra WP-Cron:

wp cron event list

Hoặc trong WordPress kiểm tra các scheduled events.

Nhưng cần lưu ý:

Không phải cron nào lạ cũng là malware.

Một website WooCommerce có thể có rất nhiều scheduled actions hợp lệ.

Cần xác định:

• Hook nào?
• Plugin nào đăng ký?
• Chạy bao lâu một lần?
• Code xử lý nằm ở đâu?
• Có liên quan đến thời điểm link spam xuất hiện không?

Hỗ trợ kĩ thuật

6. MU-Plugin có thể khiến bạn tìm mãi không thấy

Một vị trí thường bị bỏ qua là:

wp-content/mu-plugins/

Must-Use Plugins được WordPress tự động tải và không hoạt động giống plugin thông thường trong màn hình Plugins.

Nếu hacker chèn một file PHP vào đây, người quản trị có thể không nhận ra nó đang được thực thi.

Hãy kiểm tra:

ls -lah wp-content/mu-plugins/

Sau đó kiểm tra từng file.

Đặc biệt chú ý:

eval()
base64_decode()
gzinflate()
str_rot13()
assert()
preg_replace()

Tuy nhiên, không nên kết luận một file là malware chỉ vì chứa một trong các hàm trên.

Code hợp pháp cũng có thể sử dụng một số kỹ thuật tương tự.

Cần xem toàn bộ logic và ngữ cảnh thực thi.

7. Hacker có thể đặt PHP trong thư mục uploads

Đây là vị trí rất đáng kiểm tra.

Thông thường:

wp-content/uploads/

chủ yếu chứa:

• JPG
• PNG
• WebP
• PDF
• ZIP
• các file media khác.

Nếu phát hiện PHP file bất thường trong uploads, cần điều tra ngay.

Ví dụ:

wp-content/uploads/2026/09/x.php
wp-content/uploads/cache.php
wp-content/uploads/2026/09/image.php

Tuy nhiên, không nên xóa toàn bộ thư mục uploads một cách tùy tiện vì có thể làm mất dữ liệu media của website.

8. Hacker có thể vẫn còn quyền truy cập vào hosting

Đây là tình huống nghiêm trọng hơn.

Bạn đã:

• Xóa malware.
• Xóa link spam.
• Xóa user lạ.
• Update WordPress.

Nhưng vài ngày sau mọi thứ quay trở lại.

Khi đó cần đặt câu hỏi:

Ai hoặc cái gì đang ghi lại những file/database này?

Có thể cần kiểm tra:

• FTP/SFTP accounts.
• SSH keys.
• Hosting control panel.
• Database users.
• WordPress administrator.
• API keys.
• Deployment scripts.
• Server cron.
• File permissions.
• Access logs.
• Authentication logs.

Nếu attacker vẫn còn credential hợp lệ thì việc chỉ xóa malware sẽ không giải quyết được vấn đề.

Quy trình xử lý khi link cá độ quay trở lại

Tôi khuyến nghị không xử lý theo kiểu:

Xóa link
↓
Chờ vài ngày
↓
Xuất hiện lại
↓
Xóa tiếp

Thay vào đó nên chuyển sang quy trình điều tra.

Bước 1: Backup và cô lập

Trước khi sửa sâu:

• Backup database.
• Backup filesystem.
• Ghi nhận thời điểm phát hiện.
• Nếu có thể, hạn chế truy cập không cần thiết.
• Không ghi đè lên backup sạch cũ nếu chưa xác minh.

Mục tiêu là giữ lại bằng chứng để truy vết.

Bước 2: Xác định chính xác link được tạo ở đâu

Đừng bắt đầu bằng việc tìm file.

Hãy xác định:

URL spam
      ↓
Có tồn tại trong database?
      ↓
Có tồn tại trong filesystem?
      ↓
Có được generate động?
      ↓
Request nào tạo ra?

Ví dụ URL:

example.com/xxx/abc/

Kiểm tra:

• WordPress database.
• Rewrite.
• Sitemap.
• Taxonomy.
• Custom post type.
• Plugin SEO.
• Template.
• PHP code.
• Redirect.

Bước 3: Kiểm tra WordPress core

Chạy:

wp core verify-checksums --include-root

Nếu có file không khớp, xác định nguyên nhân trước khi thay thế.

WP-CLI chính thức mô tả lệnh này là công cụ đối chiếu file WordPress với checksum tương ứng từ WordPress.org.

Bước 4: Kiểm tra plugin

wp plugin verify-checksums --all

Sau đó kiểm tra:

• Plugin không còn sử dụng.
• Plugin không rõ nguồn.
• Plugin đã hết hỗ trợ.
• Plugin có file bất thường.
• Plugin bị sửa trực tiếp.

Plugin premium/custom cần kiểm tra bằng source chính thức hoặc bản phát hành đáng tin cậy thay vì mặc định coi checksum thất bại là malware.

Bước 5: Kiểm tra theme và mu-plugin

Đặc biệt:

wp-content/themes/
wp-content/mu-plugins/
wp-content/uploads/

So sánh với bản source sạch nếu có.

Đây thường là cách đáng tin cậy hơn việc chỉ nhìn vào tên file.

Bước 6: Kiểm tra database

Tìm:

URL spam
domain spam
anchor text spam
JavaScript bất thường
iframe
redirect
payload đã encode

Nhưng nên tạo database backup trước khi chạy thao tác thay đổi dữ liệu.

Không nên dùng SQL REPLACE() hàng loạt trên production chỉ vì tìm thấy một chuỗi đáng ngờ.

Có thể vô tình phá:

• Serialized data.
• JSON.
• HTML.
• dữ liệu plugin.
• nội dung hợp lệ.

Bước 7: Kiểm tra tài khoản

Kiểm tra:

wp user list

Sau đó rà soát quyền administrator.

Nếu xác định credential đã bị lộ, việc xử lý cần bao gồm đổi mật khẩu và thu hồi các credential liên quan, không chỉ xóa nội dung spam.

Bước 8: Kiểm tra cron

Kiểm tra:

wp cron event list

Đồng thời kiểm tra system cron trên server.

Mục tiêu là tìm các task:

không rõ nguồn
+ chạy định kỳ
+ thực thi PHP
+ liên quan thời điểm spam xuất hiện

Bước 9: Kiểm tra log

Đây là bước rất quan trọng nếu muốn tìm root cause.

Các log có thể hữu ích:

Nginx access.log
Nginx error.log
Apache access.log
PHP error.log
LiteSpeed log
Cloudflare logs
SSH authentication log
Hosting panel log
WordPress debug log

Hãy tìm:

• POST request bất thường.
• Request tới file PHP lạ.
• Login thành công bất thường.
• Upload file.
• Request tới endpoint plugin dễ bị khai thác.
• Request ngay trước thời điểm file/database thay đổi.

Bước 10: Sau khi làm sạch mới harden website

Làm sạch malware mà không đóng cửa xâm nhập thì website có thể bị nhiễm lại.

Nên thực hiện:

• Update WordPress.
• Update plugin/theme.
• Xóa plugin/theme không cần thiết.
• Thay mật khẩu quản trị.
• Thay mật khẩu hosting.
• Thay mật khẩu database nếu cần.
• Kiểm tra SSH/SFTP.
• Kiểm tra tài khoản FTP.
• Bật 2FA nếu hệ thống hỗ trợ.
• Giới hạn quyền file hợp lý.
• Thiết lập backup định kỳ.
• Theo dõi thay đổi file.
• Theo dõi login.
• Theo dõi request bất thường.
• Cấu hình WAF phù hợp.

WordPress cũng khuyến nghị tiếp cận việc website bị hack dựa trên các dấu hiệu cụ thể và điều tra nguyên nhân thay vì coi “hack” là một mô tả chung chung.

Hỗ trợ kĩ thuật

Có nên chỉ cài plugin bảo mật rồi Scan?

Không nên xem plugin bảo mật là giải pháp duy nhất.

Plugin bảo mật có thể rất hữu ích để:

• Scan file.
• Phát hiện thay đổi.
• Kiểm tra một số malware.
• Theo dõi login.
• Hỗ trợ hardening.

Nhưng một website bị nhiễm có thể có nhiều lớp:

Backdoor
   ↓
Tài khoản bị chiếm
   ↓
Cron
   ↓
Database
   ↓
Spam URL

Nếu chỉ xóa file mà bỏ qua tài khoản hoặc cron, malware có thể quay lại.

Ngược lại, nếu chỉ xóa database mà backdoor vẫn tồn tại, database có thể tiếp tục bị ghi lại.

Mục tiêu của xử lý hack không phải là “xóa được link”, mà là xác định được cơ chế tạo link và loại bỏ quyền truy cập khiến nó có thể xuất hiện trở lại.

Khi nào nên restore website từ backup?

Restore từ một backup sạch có thể là lựa chọn phù hợp nếu:

• Website bị nhiễm sâu.
• Không xác định được điểm xâm nhập.
• Có quá nhiều file bị thay đổi.
• Database bị sửa trên diện rộng.
• Có backup được xác minh là sạch.

Nhưng có một vấn đề rất quan trọng:

Backup không được xác minh cũng có thể chứa malware.

Nếu bạn restore một bản backup đã nhiễm:

Website bị hack
↓
Restore backup nhiễm
↓
Website hoạt động
↓
Malware tiếp tục chạy
↓
Link cá độ xuất hiện lại

Vì vậy cần xác định backup được tạo trước hay sau thời điểm website bị xâm nhập và kiểm tra lại sau khi restore.

Trong một số trường hợp nghiêm trọng, WordPress community cũng khuyến nghị cân nhắc khôi phục từ một bản backup sạch hoặc thực hiện quá trình làm sạch chuyên sâu.

Những cách xử lý thường không giải quyết được vấn đề

Cách làm	Vấn đề
Chỉ xóa link cá độ	Xóa triệu chứng
Chỉ xóa bài spam	Malware vẫn còn
Chỉ xóa file lạ	Có thể còn backdoor khác
Chỉ cài plugin security	Không thay thế điều tra server/database
Chỉ restore backup	Backup có thể đã nhiễm
Chỉ đổi mật khẩu WordPress	Credential khác có thể vẫn bị lộ
Chỉ update WordPress	Không tự động loại bỏ malware
Chỉ chặn Google index	Không xử lý việc website bị xâm nhập

=> Công cụ Check website online: https://sitecheck.sucuri.net/

Làm thế nào biết website đã thực sự sạch?

Không có một nút bấm đơn giản nào có thể đảm bảo tuyệt đối website đã sạch.

Nên đánh giá nhiều lớp:

Filesystem

• Core sạch.
• Plugin/theme sạch.
• Không có PHP bất thường.
• Không có file mới không rõ nguồn.
• Không có backdoor.

Database

• Không còn nội dung spam.
• Không còn user bất thường.
• Không có option/payload đáng ngờ.
• Không có redirect độc hại.

Account

• Không có administrator lạ.
• Password đã thay.
• Credential quan trọng đã được rà soát.

Cron

• Không có scheduled task bất thường.
• Server cron được kiểm tra.

Logs

• Không còn request khai thác đáng ngờ.
• Không còn hoạt động ghi file/database bất thường.

Monitoring

Sau khi xử lý nên tiếp tục theo dõi thay vì kết luận website sạch ngay lập tức.

Nếu Google đã index link cá độ thì sao?

Đây là một vấn đề riêng.

Có hai việc cần xử lý:

1. Xử lý nguyên nhân bảo mật

và

2. Xử lý hậu quả SEO

Không nên bắt đầu bằng việc chỉ xóa URL khỏi Google.

Quy trình hợp lý là:

Loại bỏ mã độc
      ↓
Ngăn việc tái nhiễm
      ↓
Xóa nội dung spam
      ↓
Kiểm tra URL bất thường
      ↓
Kiểm tra sitemap
      ↓
Theo dõi Google Search Console
      ↓
Xử lý các URL spam còn được index

Nếu nguyên nhân chưa được xử lý, việc Google xóa URL hôm nay không ngăn được website tạo ra URL spam mới vào ngày mai.

Checklist xử lý WordPress bị chèn link cá độ

Bạn có thể sử dụng checklist này khi xử lý website:

• Backup filesystem.
• Backup database.
• Xác định URL spam.
• Xác định thời điểm spam xuất hiện.
• Kiểm tra database.
• Kiểm tra WordPress core.
• Kiểm tra plugin.
• Kiểm tra theme.
• Kiểm tra mu-plugins.
• Kiểm tra uploads.
• Kiểm tra user WordPress.
• Kiểm tra WP-Cron.
• Kiểm tra server cron.
• Kiểm tra FTP/SFTP/SSH.
• Kiểm tra hosting panel.
• Kiểm tra access/error logs.
• Kiểm tra Cloudflare/WAF nếu có.
• Xóa mã độc.
• Thay credential.
• Update WordPress/plugin/theme.
• Hardening website.
• Kiểm tra lại database.
• Kiểm tra lại filesystem.
• Theo dõi website sau xử lý.
• Xử lý hậu quả SEO nếu đã bị index.

Câu hỏi thường gặp

Xóa link cá độ WordPress rồi vài ngày sau xuất hiện lại có phải website bị hack không?

Khả năng cao website đang có vấn đề bảo mật, đặc biệt nếu nội dung spam tự động quay trở lại sau khi đã xóa. Tuy nhiên, cần kiểm tra filesystem, database, tài khoản, cron và log để xác định chính xác cơ chế tạo lại nội dung thay vì kết luận chỉ dựa trên URL spam.

Xóa database có hết link cá độ không?

Không nhất thiết. Nếu nguyên nhân nằm trong PHP backdoor, cron hoặc tài khoản bị chiếm, nội dung có thể được ghi lại vào database sau khi bạn xóa. Database chỉ là một trong nhiều vị trí cần kiểm tra khi xử lý website bị xâm nhập.

Cài Wordfence hoặc plugin bảo mật có xử lý hết malware không?

Plugin bảo mật có thể hỗ trợ phát hiện và xử lý nhiều dạng mã độc nhưng không nên xem đó là phương án duy nhất. Website bị xâm nhập cần được kiểm tra cả filesystem, database, user, cron, credential và log để tìm nguyên nhân tái nhiễm.

Có nên restore backup khi website bị chèn link cá độ?

Có thể, nếu bạn có backup được xác minh là sạch và được tạo trước thời điểm xâm nhập. Nếu không biết backup có sạch hay không, restore có thể đưa malware quay trở lại. Sau khi restore vẫn nên cập nhật và harden website.

Website không thấy link cá độ nhưng Google vẫn index thì có phải bị hack không?

Không nhất thiết, nhưng đây là dấu hiệu cần điều tra. Có thể nội dung được tạo động, cloaking theo user-agent, URL cũ vẫn còn trong chỉ mục hoặc dữ liệu spam tồn tại ở một vị trí mà giao diện website không hiển thị. Cần kiểm tra URL, source, database, server và Search Console.

Kết luận

Xóa link cá độ WordPress nhưng vài ngày sau xuất hiện lại, đừng tiếp tục xóa từng link. Hãy coi đây là dấu hiệu website có thể vẫn còn mã độc, backdoor, tài khoản bị chiếm hoặc cơ chế tự động tạo lại nội dung.

Cách xử lý đúng là truy tìm root cause:

Link spam
   ↓
Xác định nguồn tạo
   ↓
Filesystem + Database
   ↓
Plugin + Theme + MU-plugin
   ↓
User + Cron
   ↓
Log + Credential
   ↓
Loại bỏ điểm xâm nhập
   ↓
Hardening
   ↓
Monitoring

Nếu website của bạn đang gặp tình trạng xóa link cá độ nhưng vài ngày sau lại xuất hiện, việc tiếp tục xóa thủ công thường chỉ làm mất thời gian. Cần kiểm tra toàn bộ website và server để xác định mã độc đang nằm ở đâu và bằng cách nào nó được kích hoạt lại.

Đây cũng là điểm khác biệt giữa xóa nội dung spam và xử lý một website WordPress bị xâm nhập.