Имхо, первым делом посмотреть /etc/passwd (вдруг новый юзер появился), посмотреть netstat, ps aux и всё такое. Подключения по ssh мб, или тоннели. Обновить ось, cms и плагины. Проверить логи (особенно подключения по ssh, ftp), поискать свежие файлы (измененные недавно, связанные с веб-приложением), удалить все плагины, которые установил незадолго до инцидента. Удалить все плагины, которые не используются. Ну изменить везде пароли обязательно