Вот эта? Очевидно, если ты сам её туда не клал, то взломали.
Это могли сделать как через дыру в движке/плугине к нему, так и свистнув пароль к FTP (через открытую WiFi-точку или прямо с компа трояном).
Соответственно нужно выяснить, что именно произошли и принять меры.
1. Узнать, взломали ли сайт или просто свистнули пароль к FTP
1.1. На хостинге просмотреть даты изменения файлов сайта. Если есть новый исполняемый код, который появился недавно, а ты его туда не клал, то это оно.
1.2. Весь новый исполняемый код найти и удалить
1.3. Убрать всё, что появилось на сайте без твоего ведома.
Вот тут хорошо расписано:
http://habrahabr.ru/company/sprinthost/blog/125839/
2. Провести профилактику
2.1. Обновить сам движок WordPress.
2.2. Обновить все используемые плугины. Если обновлений на них нет — отказаться от их использования.
2.3. Сделать новый пароль на хостинге/FTP
2.4. Обновлять вышеперечисленное регулярно.
2.5. Пользоваться по возможности для работы с хостингом только HTTPS/SFTP (при наличии), не администрировать сайт через открытые WiFi-точки.