WordPressのAppointmentsプラグインには、バージョン2.2.1までに信頼されていない入力が「wpmudev_appointments」クッキーからデシリアライズされることで、PHPオブジェクトインジェクションの脆弱性が存在します。この脆弱性により、認証されていない攻撃者がPHPオブジェクトを注入できてしまいます。攻撃者はWP_Theme()クラスを利用してこの脆弱性を積極的に悪用し、バックドアを作成していました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。