@wojti99 w logach masz wielokrotne żądania typu POST do tego pliku. To wygląda już na etap wysyłki spamu. Najważniejsze byłoby ustalenie jak doszło do włamania, wyczyszczenie strony i dodanie ochrony.