后台出现不认识的管理员时，先核实授权来源并保留证据，再限制风险。陌生名称不一定代表入侵，但管理员权限足以影响网站，因此不应只删除账户后就结束处理。
先核对是否为合法账户
联系站点负责人，核对开发、主机支持、自动化集成和历史交接记录。记录账户ID、角色、创建时间及可见活动；创建时间等信息需要可靠日志或数据库依据，不能凭界面猜测。
不要公开邮箱、登录IP、令牌或完整日志。对外沟通使用脱敏标识即可。
保留证据与控制访问
在不扩大风险的前提下保存相关日志、账户信息和近期文件变更，并建立可恢复快照。若确认未授权，应及时限制该账户及相关会话访问，由有权限的管理员处置。
删除用户可能涉及内容归属转移，因此先确认文章、页面及业务关联。不要为了清理账户误删正常内容。
排查不止用户列表
检查其他管理员、应用程序密码、计划任务、可疑插件与主题文件，以及主机、数据库和DNS管理入口。网站账户被移除，不代表攻击者没有其他访问方式。
核对近期插件漏洞、泄露凭据或不安全安装包等可能入口。需要轮换凭据时，应按受影响范围处理，并更新合法集成；不要在不清楚依赖的情况下造成业务中断。
恢复可信状态
使用可信来源核对核心、插件和主题文件，修复已确认漏洞，移除未授权持久化入口。仅安装扫描插件或得到一次“未发现”结果，不足以证明完全清理。
涉及重要交易或客户数据时，应由具备响应能力的人员评估影响范围。记录已确认事实与仍待核实事项，不把猜测写成入侵结论。
持续验证
确认账户不会再次出现，观察新的权限变更与异常登录，验证网站核心业务正常，并复查日志保留与最小权限设置。
改管理员密码就够了吗？ 如果只是单个密码泄露，改密是必要措施之一；若存在恶意代码、额外账户或应用密码，还需要逐项处理。修复应覆盖入口和持续访问方式。
参考资料
相关问题
本文为通用排查指南，依据所列官方资料整理；菜单名称和行为可能随版本及主机环境变化。配图为AI生成的概念示意，不是实际故障截图。
