На хостинке появились чужие сайты

Брешь обычно бывает:
На конченом хостинге;
У конченого хостера.

а что за хостинг и цмс ваша?

+хостинг ваш скажите

мой хостинг или ТС?) я думаю героев надо знать в лицо, что за хостер допускает такой беспредел.

Не зная хостера и CMS, угадать, что это за брешь, не представляется возможным. Можно только посоветовать перейти на VDS (это безопаснее, хоть и дороже), а если не поможет, то подумать о смене CMS, на которой работает сайт -- возможно, дыра не в хостере, а в ней.

- Взломан хостинг
- Взломана CMS
- Трояны увели пароли от ftp

Вариантов масса.

Самая правильная версия !

futuristian ответил верно. Вариантов много: менять и проверять нужно всё.
Смени пароли от панели хостинга, которые у тебя спёрли.

Хостер Космохост, но скорее всего это shell в каком то из паблик шаблонов вордпресс... скачиваю сайты на комп и поиском ищу shell...

не жалейте денег на премиум шаблоны , потом дороже обойдется!