была такая ситуация совсем не давно, только с Джумлой... кто-то по ФТП заливал всякую шнягу... и в файлы ПХП добавлял код... решил следующим способом...
на хостинге в корне создал файл .ftpaccess, в котором запрет на все IP кроме своего...