Неоднократно сталкивались с такими проблемами, как взлом сайта. При этом злоумышленники встраивают свой код в ядро. Обычно в файлы, которые грузятся на всех страницах.
Сканнер на модификации ядра обычно показывает это сразу. Код можно вырезать (если найдешь, ведь не показывается что именно модифицировано).
Причины проникновения, конечно, определять тоже можно разными средствами.

Бывает еще так, когда изменения делают программисты-грешники,  любящие сунуть ручки в ядро. Тут вообще отследить изменения практически невозможно. Лишь ждать, пока выйдет какое-нибудь обновление, перезапишущее данный файл.

Но хотелось бы иметь кнопочку "Восстановить ядро", которая будет тянуть с сервера конкретное ядро продукта. По версиям модулей.