原则上，只要重置密码，再调用用户配置文件上的“在任何地方注销”，就足以防止良性用户知道密码。重置web主机客户密码，包括任何关联的FTP帐户密码。使用强密码和唯一密码。

但是，如果任何未知的、可能是恶意的用户可能拥有wp admin、hosting帐户或FTP访问权限，则可能会通过PHP代码引入后门。在这种情况下，该网站必须被视为被黑客入侵。看见https://wordpress.org/support/article/faq-my-site-was-hacked/

任何定制的PHP代码都应该被审查，以排除后门，加上wp本身和所有从头重新安装的插件/主题。这不是小事，需要专家。