Совета по обновилению WP до последней версии, будет достаточно.

Нет. Письмо улетит админу, но в линках и заголовках будет домен атакующего.

Так же, должны быть соблюдены условия для успешной эксплуатации.