单位网站被挂马

我在县里一个单位管着那个网站，用的WordPress搭的，一直好好的。结果今天早上打开一看，首页全变了，跳转到什么赌博网站去了。我一开始还以为是缓存问题，清了半天没用。后来用宝塔面板看了下文件，发现wp-includes下面多了好几个奇怪的文件，后缀是.php的，我都没见过。查了访问日志才发现是Limit Login Attempts漏洞被利用了，插件是WP Statistics，我都没怎么更新过。现在把插件删了，密码也改了，数据库里也被塞了一些东西，清理了半天。搞这种破事真的心累，平时也没人管这些，就我一个人弄，出了事全找我。