А это, какбэ, хороший хостинг должен сам помогать бороть. На ISP, например, вот и вот сотрудник техподдержке даже в своем блоге писал на эту тему. Там одна команда из командной строки на хостинге по удалению этого кода.

Начиная с 5.2 мы будем скрывать пароли к базе и фтп, забитые в параметры сайта, зведочками. Потому как пароль в админку оставляют 123:123 или admin:admin, заходишь, а там все как на ладони...

Отпишусь тут, чтобы народ не переживал, мне кое-что известно.
Да, кое-что косячное есть. Но во-первых, оно действительно в админке, для авторизованного администратора. Например, в админке модуля "Баннеры" можно загрузить JPG с РНР-кодом внутри и он исполнится, т.к. баннеры мы не обрабатываем, а даем админу грузить исходники. То есть, можно загрузить шелл через РНР в JPG через баннеры. Страшно это или нет, решайте сами, но я считаю, что если кто-то упёр название папки администрирования, логин и пароль админа и залогинился, то шелл можно закачать и через "Файловый менеджер", и не валять дурака с загрузкой инфицированных JPG.
Основной косяк был в том, что "Файловый менеджер" в нашей деме на нашем сервере отключен, т.е. шелл не загрузить. Но по схеме FLYNSTROOL-а это было можно сделать. Тут мы сами лохи: даем админский доступ к своему серверу.
Эту дыру у себя мы закрыли, конечно, кое-какие выводы сделаем и в коробку DIAFAN.CMS, так что спасибо FLYNSTROOL-у, что сообщил.
А всем пользователям DIAFAN.CMS мы как всегда рекомендуем делать сложные пароли, прятать папку админа и не записывать пин-код от банковской карты на ней же

Мы, кстати, поощрили энной суммой

Имейте ввиду, ломануть сервак могут и через другую популярную CMS ;)