phpKit 1.6.4 ACP ändern

Hallo,
Das Forum von nem Freund von mir wurde letzten PwNED, jetzt stehen alle userhashs auf der startseite der homepage. Nur ich/er hat keine ahnung wie man das rauskriegt, die scheinen sich "drin verhangen" zu haben...
Wäre echt nett wenn ihr uns helfen könntet!

(Sie stehen unter dem (c) )

LG

Edit: Habe mich nun im Forum registriert mit falscher email/anderem PW. Und siehe da. Mein md5 hash steht auch drinnen! Also hat er irgendein script reingestz was das automatisch reinsetzt.
Bitte helft ihm/uns!

Das müsste doch per ACP verwaltbar sein. Seiten bearbeiten sowas. phpkit ist sowieso unsicher, aber wieso zum Teufel setzt ihr das komplette phpkit nicht erstmal offline o.O Ausserdem sollte dein Freund sichere Passwörter verwenden.

Wahrscheinlich wurde das Teil per Exploit "geknackt", da ist die Stärke das PW's erstmal unwichtig.
Nachher den MD5 zu knacken ist dann aber schwerer.