Все бесплатные cms имеют определенные уязвимости, хотя ворпрес в этом плане не самая плохая c cms.

Wordpress - самая часто взламывая CMS по статистике.

Хотя, бороться со взломами WP очень просто:
1. запрещаете запись в каталоги с кодом (wp-content, wp-admin и тд),
2. Запрещаете исполнение кода из каталогов с разрешенной записью (upload etc)
3. Ставите пароль на админку через htpasswd.
4. Профит!
Очень простая и очень надежная защита от 99,9 % атак
(от sql иньекций, это конечно не защитит, но, без доступа к бд ее и не сделаешь. Известные эксплоиты уже давно закрыты)

Не потому что она самая дырявая, потому что самая популярная.
Вот график популярности в мире от BuiltWith, W3tech

Совершенно верно. Плюс, из-за его распространенности, WP ломают ботами а не вручную.
офтоп (удивляет высокий процент Drupal в списке, кто сейчас на них делает сайты?)

не забывайте что многие не покупают шаблоны и плагины, а качают с сомнительных сайтов. при его активации все пароли передаются другим людям

Тут ничего не сделаешь, но, даже в этом случае можно защитить файлы указанным мной способом.

Я бы ещё рекомендовал запрет доступа к некоторым папкам через .htaccess

Интресно было бы узнать какой процент самописных cms