Shell yeme olayı nedir ?
kısaca La Mekan anlatmış eklenti ve temalar vasıtasıyla gelebilir.
Fakat dosya ve host güvenlik zaafiyetleride varsa shell yiyebilirsiniz.Ne demek istiyorum?
Hostunuzda herhangi bir sitede bir yerinde açık var ve hckr şahsiyetler o siteye giriyor.O site vasıtasıyla sizin ve diğer tüm sitelerin config bilgilerini çekiyor.Yine o site üzerinden veritabanına bağlanıp sitenize giriyor.Nasıl mı ? eğer ki config bilgilerini çekmişse bir takım komutlar ile sizin admin şifrenizi(wp md5) değiştirip admin panelinden giriyor ve eklentilerin üstüne shell yazıyor.

Alınacak güvenlik önlemleri config yolunu bilindik yapmamak(wp-config.php<=>wp-configsifreli.php gibi) wp-login.php yolunu değiştirmek.Dosya ve klasör izinlerini düzenlemek.Ve eğer klasörlerinizdeki dosyalar açık bir şekilde listeleniyorsa .htaccess ile klasör listelenmesini engellemek :)
aklıma gelenler bunlar.İyi forumlar.