La fel am patit si eu spatamana trecuta, insa aveam access la cpanel, ftp.
Am descoperit ca in main-layoout se executa un alt fisier php ce comtinea un cod de generare
a unei sesiuni ce permitea accesul in partea de administrare a wp.
Am sters fisierul si codul acela si totul a fost ok.
Problema este ca nu am aflat pana acuma cum a ajuns acel fisier acolo, mai ales ca era in root-ul domaniului.
Desi am verificat si history de la ftp/ssh nu am gasit nimic neobisnuit.
Aveam cam aceleasi pluginuri ca si tine (cele de securitate).
Am mai cautat pe google (fractiuni de cod din acel php) si am dat peste un articol in care explica exact ce face acel cod, dar nu si cum ar putea fi pus acel fisier pe server.
Din multele probleme care erau expuse acolo, cica si tinythumblain sau cum se numeste pluginul acela opensource ce este integrat cam in toate themele ar fi vulnerabil (astfel prin executarea directa a unui http request, acesta ar face upload in directorul uploads a altor fisiere).
Momentan pentru siguranta am pus in htaccess (cel din uploads) cod ce nu permite executarea niciunui fisier php in acel fisier.