О, расскажи про уязвимости в пыхе
будет проще рассказать в чем она не уязвима.
моя основная специализация это wapt (web application penetration testing) и по опыту работы с совршенно различными технологиями могу однозначно сказать - и накидать ссылок в профильные чаты где уже более именитые спецы - реально спецы могут подтвердить, что более дырявых сайтов чем похапешные еще не встречались.
в пхп есть только "непробиваемая троица" - симфони, ларавель и неожиданно битрикс цмс. всё остальное не сайты, а дуршлаг