Про веб-шелл на сайтах. Как наладить сайты на Joomla CMS (версии 3)? - Joomla 3.x: Общие вопросы

Здравствуйте!
В сентябре 2026 г. на хостинге была плановая (ежемесячная) антивирусная проверка. Антивирус хостинговой компании нашел некоторые вопросы по сайту.
Затем я подключил платную антивирусную проверку. И нашлось еще больше "нюансов" и обстоятельств.
Антивирус некоторые файлы вылечил, некоторые не вылечил. Файл расположен по следующему пути: Корневая папка/assets/images/accesson.php.
Эти папки, вероятно, «выросли» одна за другой в директориях разных сайтов. Техподдержка пишет, что речь идет о веб-шелле.
Когда я пытаюсь удалить файл с хостинга, то он сначала удаляется, а потом появляется вновь на том же месте.
CMS: Joomla 3.10.12.
Также на хостинге были установлены CMS Joomla версии 4.
В результате после обнаружения файлов веб-шелла несколько проектов на Joomla пришлось приостановить.
Как закрыть уязвимость сайтов? Как наладить работоспособность и функционирование сайтов (в обозначенной ситуации)?

Уточнение вопросов:
В сети Интернет где-то рассматривают похожие случаи заражения? Что рассказывают про эту ситуацию с файлом на тематических форумах?
Каково ваше мнение о наличии веб-шеллов в папках (на хостинге)?
***
Насколько я помню, на сайтах была также установлена некоторая защита, выполненная по урокам известного специалиста по Joomla CMS. Но похоже даже защита от известного специалиста была, вероятно, "преодолена".
***
На сайтах также присутствует базовая версия антивирусного компонента RSFirewall. Но даже антивирусный компонент RSFirewall почему-то не спас, в обозначенной ситуации. Или внутренний антивирусный компонент был как-то не так настроен.... (компонент, к сожалению, не был обновлен до новой версии).
***
Примечание: сайты отображались корректно. Некоторые опасения вызывает тот факт, что антивирус на хостинге сообщает о наличии вирусов в определенных папках. Кроме того, техподдержка хостинга подтверждает наличие файлов веб-шеллов в 5-6 папках.
Будьте добры, расскажите, каков порядок действий в таких ситуациях? Что возможно практически предпринять?

Нейросеть рекомендует следующее:
- "Проверить всю папку assets/images/ на наличие других PHP-файлов — обычно accesson.php не единственный.
- Просканировать весь сайт на скрытые «слушатели» — легитимные файлы с внедрённым кодом, который восстанавливает бэкдор.
- Проанализировать логи веб-сервера — найти, когда и через какой URL был загружен accesson.php (искать POST-запросы и ответы 200 к подозрительным адресам)".

даже антивирусный компонент RSFirewall почему-то не спас

И не спасет. Нейросеть вкратце правильно советует.

Если чистого бекапа уже нет, чтобы закрыть уязвимость через которую ломали в нем, то придется перебирать вручную в закрытом режиме и очень долго. Ну или переделывать сайт, как советуют в телеграмм канале.

Если сайты работают от одного системного пользователя, заражённый сосед может заново записывать accesson.php после каждой очистки

Проверьте владельцев файлов и доступ между каталогами в логах ищите запросы перед повторным появлением файла