1. Остановить веб-сервер и перезагрузить хост
2. Изолировать хост от доступа извне, перенастроить файрволл для ограничения выхода сервера в интернет (обратный шелл - гадость, которую надо ловить отдельно)
3. Обновить wordpress на свежую версию, сохранив старый каталог в месте, недоступном для веб-сервера
4. Создать новую базу для wordpress, сменить пароль админа и пароль доступа к БД
5. Просмотреть changelog wordpress'a в поисках багфиксов, через которые возможен взлом сайта
6. Просмотреть старый каталог wordpress в поисках залитого шелла, при обнаружении проанализировать, включая путь, которым он туда попал
7. Ограничить доступ к админке wordpress средствами веб-сервера (IP, авторизация логин-пароль внутри сервера (не вордпрессная!), ещё что-нибудь, что умеете)
8. Настроить аудит доступа к админке и fail2ban на его основе, чтобы отсечь ломающего ваш сервер
9. Создать бэкап системы для обеспечения отката на состояние "купированная атака"
10. Включить новый wordpress, проверить ваш доступ к нему, проверить (ожиданием и анализом логов) наличие попыток взлома
11. В случае, если взломать новый wordpress у атакующего не получилось (по логам, по косвенным признакам, ещё как), запустить перенос данных со старого инстанса (из БД в БД), пользователей пересоздать.
Как-то так имхо.