Qué es

No solo se encontró un archivo PHP en la carpeta uploads — se confirmó que efectivamente se ejecuta cuando se lo pide. Como uploads debería servir solo contenido multimedia, un archivo PHP que se ejecuta ahí es un backdoor activo, no solo un riesgo.

Cómo solucionarlo

Borrá el archivo de inmediato si no lo reconocés, y bloqueá la ejecución de PHP dentro de la carpeta uploads a nivel servidor (la mayoría de los hostings lo soportan con una regla simple de .htaccess o nginx) — la pestaña de Seguridad del Plugin de WordPress aplica esto automáticamente y además confirma si el bloqueo realmente funcionó en tu servidor.

En profundidad

Tu sitio de WordPress tiene un archivo malicioso escondido en tu carpeta de descargas que un atacante puede ejecutar para tomar control de tu sitio. Este archivo nunca debería estar ahí porque la carpeta de descargas está diseñada solo para guardar imágenes y documentos, no código que se ejecute. Cuando alguien solicita este archivo a través de su navegador, se ejecutan comandos en tu servidor, lo que le da al atacante la forma de robar datos, modificar tu sitio, instalar más malware o enviar spam desde tu dominio. Tenés que eliminar inmediatamente este archivo y luego evitar que tu servidor ejecute nunca más archivos PHP desde la carpeta de descargas. Tu proveedor de alojamiento puede hacer esto usando algo llamado .htaccess o una regla de nginx, que es básicamente decirle al servidor "estos archivos nunca deberían poder ejecutarse". La mayoría de los complementos de seguridad, incluyendo las herramientas de seguridad propias de WordPress, pueden aplicar esta protección automáticamente y verificarán que funcionó para que sepas que tu sitio está realmente protegido.