WordPress被上传了php马咋整

刚才检查服务器文件，发现多了好几个陌生的php文件，打开一看全是加密过的代码，应该是被人上传的webshell。我用的WordPress程序，插件和主题都是官方下的，密码也改过好几轮了，还是被搞了。现在有点懵，不知道是哪个漏洞进来的。想问下大家遇到这种情况一般怎么处理？是直接把文件删了就行，还是要重装系统？我服务器上还有几个其他站点，怕连累一起被黑。有没有靠谱的安全插件推荐？之前用过Wordfence，觉得有点卡，有没有轻量一点的？