4 поста в секунду — вряд ли человек. Посмотрите логи сервера, если каким то образом скрипт имитировал деятельность зарегистрированного пользователя, должны остаться большое количество запросов по созданию постов. Если не обнаружите такие запросы, то скорее всего у вашего оппонента есть доступ к вашей БД.
Да, весьма похоже что есть какой то доступ… На вирусы просканировал ImunifyAV — выдал что все сайты чистые. Поменяю все пароли на очень сложные. А это дело зачищу, попробую изменить параметр mysqli, лень вручную возиться.
Добавлено спустя 11 минут
Выполнил SET GLOBAL sort_buffer_size = 256000000
sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf
sort_buffer_size = 256000000
systemctl restart mysql
После этого из админки удалил спамера без проблем. Меняю пароли и спасибо всем кто откликнулся.