Update: au mutat fiecare site pe cont propriu de cPanel. problema s-a pastrat adica cea de server! Vulnerabilitatea este de la un plugin "abandonat", doar ca pe alt site identic, dispare problema de server, in conditii identice.