Wordpress siteniz eğer son versiyonsa bir sıkıntı olmaması gerekiyor. Tabi aşağıdaki işlemleri yapmadıysanız.
1- Bir şekilde şuan 3.0.1 son versiyonda olan seacrch.php kaynaklı (?s=) xss açığı ile cookie bilgilerinizi göndermediyseniz. Site bilgileri alınabilir.
2- Admin.php dosyasında mevcut olan sql injection kaynaklı bir durum için htaccess dosyasında önlem almadıysanız. Site bilgileri alınabilir sonrası için shell bırakılabilir.

Bunun yanısıra Güvenlik önlemlerini aldıysanız muhtemelen server kaynaklı bir durumdan dolayı sitenize giriş yapılmıştır.Shell atılmış veyahut şu zon zamanlarda çıkan wordpress tr dil dosyası .exe oluşumunu sağlayıp siteyi ele geçirelebilir hale getiren programcık oluşmuş olabilir.
Siteyi göremediğim için başka birşey diyemeyeceğim.