Разумеется могут.
Я с таким сталкивался несколько раз на моих сайтах.
Один раз даже столкнулся недавно 2 года назад. Сайт был исключительно на лицензионных компонентах и в один момент я обнаружил, что на сайте есть порядка 900 url хотя по факту было всего 7 страниц, которые я создал. Притом эти url появились уже более 2 месяцев до этого в период разработки и бэкапов за тот период я не сохранял.
Как я ни колдовал вылечить я не смог на готовом сайте и его пришлось сделать заново. Так было проще, хотя опыта тогда было уже 10 лет.
Что я нашел на сайте: пока не было SEO компонента - всё было нормально. Как только SEO отображалось - появлялось 900 ссылок имитирующих интернет магазин на английском языке. Притом там были какие то купальники и прочее. В дизайн сайта оно совершенно не вписывалось, так как Шаблон оформления был на новом нетипичном компоненте. Далее я нашел в корне папку со множеством готовых карт сайта - около 10 и в каждой были разные URL. Их удаление приводило к тому что через 2 часа они восстанавливались.
Самый быстрый путь оказался сделать заново и проверить все компоненты на легальность.
В районе 2012 года тоже были проблемы с варезными шаблонами - появлялись лишние SEO вредности.