WordPress invadido – usuário alterado “HaCKeD by Mohamed Riahi”

Conversei por mais de 1 hora com um técnico do suporte avançado da Locaweb.
Ele me falou que a vulnerabilidade está na aplicação, e não no ambiente.
Tudo leva a crer que o WordPress tem falha, que permite SQL Injection.

E veja bem, estou sempre usando a ultima versão atualizada. No caso 4.7.
Neste servidor, realmente só as instalações de wordpress foram afetadas. E foram dezenas.
Queria informar que isso é muito sério e deve ser reportado ao desenvolvedor, mas não sei como fazer.
Usuários mais experientes daqui poderiam informar como proceder?

WordPress 4.7 está com vulnerabilidade de SQL Injection!

@italoxz,
Obrigado pelas informações.
Esta “falha” em questão não afeta meu site:
{“code”:”rest_user_cannot_view”,”message”:”Sem permiss\u00e3o para listar usu\u00e1rios.”,”data”:{“status”:401}}
Já uso “Wordfense” e o “AIO WP Segurança e Plugin de Firewall”, que são bem efetivos no bloqueio de acessos, firewall. Inclusive bloqueio tudo que seja de fora do Brasil.
Mesmo assim meu WP e dezenas de outros tiveram seus usuários do banco de dados alterados.
Neste caso, me leva a crer que tenha sido por SQL Injection. Pelo que vi, o “cracker” utilizou um webshell no servidor e comprometeu todas as demais contas do servidor compartilhado.
Aí chega em um ponto: não dá para usar o WPScan em um servidor compartilhado né?
Obrigado novamente