P
они прост в h1 заявлены, норм платят, поэтому их сайты теперь значительно защищеннее чем другие пхп ресурсы
будет проще рассказать в чем она не уязвима.
моя основная специализация это wapt (web application penetration testing) и по опыту работы с совршенно различными технологиями могу однозначно сказать - и накидать ссылок в профильные чаты где уже более именитые спецы - реально спецы могут подтвердить, что более дырявых сайтов чем похапешные еще не встречались.
в пхп есть только "непробиваемая троица" - симфони, ларавель и неожиданно битрикс цмс. всё остальное не сайты, а дуршлаг