new-api被篡改了...被植入用户，怎么破？

我说最近服务器动不动负载异常…点开new-api的用户管理页面，突然多了很多不知名的广告植入用户… 吓人倒怪… 这是什么情况？是有漏洞么？大佬们指导下如何防范和解决这种风险。