Unerwünschte autogenerierte Kommentare

Hallo ihr Lieben WP-ler,

Sorry, ich weiß nicht ob das Thema hierher passt.
Für mich passieren hier gerade rätselhafte Dinge und ich hoffe ihr könnt mir helfen.

Ich war gerade dabei mein erstes Template zu erstellen, da passierten merkwürdige Dinge.
Unerwünschte, ganz offensichtlich, autogenerierte Kommentare schlichen sich in die Standartbeiträge (Hallo Welt) ein. AbsenderIP laut WP-Admin 127.0.0.1 (Localhost also), Name: admin
Nachricht:content here
Akismet hatte ich zu der Zeit nicht installiert, sollte auch nicht nötig gewesen sein, weil ich nämlich das komplette WP nur für meine IP via .htaccess zugänglich gemacht hatte.
Mir also ein Rätsel wie jemand Fremdcode eingeschleust haben soll.
Die Kommentare erscheinen merkwürdigerweise auch nur, wenn ich mein selbstgeschriebenes Template aktiviert habe.
Hat jemand dazu eine Idee?
Woher kommen die Kommentare?
Ist 127.0.0.1 tatsächlich die Quell-IP des Senders bzw. Skripts? Anders kann man dank htaccess doch garkeinen Zugriff haben. Ich verstehe das nicht.
Ich habe WP anschließend neu installiert, das Datenbankpasswort geändert, die .htaccess überprüft, die Datenbank überschrieben, die wp-config abgesichtert.
Sogar den Beitrag habe ich auf privat und nicht öffentlich gesetzt und es hört nicht auf.
Das einzige was hilft ist, wenn ich die CHMODs ändere, die Seite also komplett ausschalte.

Das Template ist noch sehr schmal gehalten. Ich gebe nur die Posts aus und die Kommentare sowie die Kommentarfunktion.
Einen User namens admin gibt es übrigens nicht. Es sollte eigentlich nicht möglich sein, dass über http Daten an WP gesendet werden.

Für mich ein Rätsel aber man sagt ja, dass es besser ist Fehler so früh wie möglich zu machen bzw. zu erkennen.

Natürlich kann ich im nächsten Schritt gucken, welche Skripte in WP aufgerufen werden. Ich freue mich aber, wenn ich mir das ersparen kann.

Für mich ein Krimi.
Ich bin total gespannt auf eure Antworten.
Bitte um Hilfe.
Viele Grüße @all