Witam,
to co ty przejąłeś skoro “zabrania ci się robienia aktualizacji” i jaki wpływ ma aktualizacja wordpressa na jego wygląd.
Ktoś robił skórkę sam i boją się czy się nie rozleci, ale to sprawdzę na jakimś backupie. Aktualizacja pozwoli się pozbyć tego problemu?
Aktualizacja to podstawa właśnie przez XML. Jak skóka została poprawnie zrobiona spokojnie powionna zadziałać i na WP4, no chyba że korzysta z jakiegoś przestażałego frameworka.
W logach widzisz tylko wywołanie, a tak naprawdę to jest metoda ataku brute force poprzez protokół xmlrpc. Jest to owszem, zmora wordpressa, ale dotyczy w zasadzie wszystkich CMS, bowiem są to w pełni zautomatyzowane ataki.
Jeśli do obecnej wersji wordpressa są jeszcze jakieś działające i niedziurawe wtyczki do blokady adresów IP z których zbyt wiele prób logowania kończy się fiaskiem, to zainstaluj takową.
Aktualizacja samego wordpressa zabezpieczy samą jego instancję przed wykrytymi dziurami, ale użyte wtyczki dalej mogą pozostać dziurawe.
Taki krok i tak będzie fatalny w skutkach, więc rozważ lepiej opcję nowej instancji wordpressa z przerobioną starą skórą i importem istniejących treści.
W ostateczności kto wie o błędach aplikacji z racji jej wieku i nie godzi się na aktualizacje, bierze ryzyko na klatę. I ciebie nie powinno to obchodzić, bo nie jesteś specjalistą ds. zabezpieczeń ani takim się nie mienisz 
To prawda, podstawą działającej strony na WP są aktualne wszystkie możliwe elementy (nawet wtyczki do blokowania IP).
wielkie dzięki za odpowiedzi :-)