Что делать если на WEB сервере скомпрометирован root доступ?
Все зависит от того для чего были выданы права, на какой срок и какие работы проводились.
Смените пароль для начала. 
Можно предположить что сторонний человек мог что-то установить, сделать, логи вам подскажут что делалось в системе, если конечно их не потерли)))
Если начальство будет спрашивать, просто укажите на то что: 1.не вы передавали пароль 2.не было задачи протоколировать действия
Ну и избегайте подобного в дальнейшем.
На будущее настроить бекап, хотя бы системных файлов, настроек и т.д. чтобы было с чем сравнивать. что изменилось, что нового внеслось.
бекап **пу прикрывает во многих случаях.
в твоем случае попробовать посмтореть какие файлы во всей системе менялись за последние **цать дней, прошедших с момента компрометирования рута. решениение не полноценное (все файлы системы я так понял валидировать вручную нереально), работа будет дебильней некуда, но хотя бы попытка.
Зато теперь есть всеуниверсальная отмазка.