Дмитрий

Если у веб-сервера(Apache, nginx,...) есть права на root директорию или в один из ее каталогов, то могли найти уязвимость в скриптах и "зааплодить" нужные файлы. Классика же....
Рекомендую пройтись например Manul'om от Яндекса для поиска уязвимости.