Büyük olasılıkla sunucudan girmişlerdir. Fazla plugin kullanmıyorsanız güncel WordPress açığı bulmaları zor.