Por qué es una señal fuerte
Ahí WordPress guarda media. PHP ejecutable en ese árbol es inesperado. El escáner mira contenido y extensión; no corre los bytes. Un falso positivo se puede marcar; el hallazgo permanece.
Después del hallazgo
La cuarentena es copiar-verificar-quitar. El hardening puede impedir que uploads sirva PHP. Ningún paso lo implica el match. El scan HTTP gratis no ve esos ficheros.