Quasi sicuramente si tratta della falla dell'EDITOR JCE che credo stia causando problemi a tantissimi siti che usano questo componente. Ci sono vari modi per capire se il sito è compromesso e uno dei primi è vedere se sono presenti del profili JCE con nomi strani. Altro indicatore sono files sconosciuti nella cartella tmp, media e images. Avere un BU completo fatto con Akeeba Backup è una vera salvezza.

Ettore