Ничего удивительного в этом нет. Поменять права не проблема. Эксперемент с выдачей делали? Также рекомендую поставить плагин AntiVirus, он поможет найти уязвимости.
Уязвимость в последних нескольких версиях вордпресов, нашел на хакерском сайте пошаговый мануал по взлому сайта и получению админки или вноса кода в файлы без получения админки.
Скажите, с каких версий эта дыра появилась? Мне способ сам не нужен, но у знакомой уже 3 блога так постардали - все время хрень какая-то внедряется, на одном тема была зараженная изначально, а два других вроде чистые ставились.