Важный момент, который часто пропускают — уязвимости не только в коде, но и в том, как настроен сервер или админка. Автосканы помогают, но без ручной проверки мало чего поймаешь. И правда, обновления — это база, но без понимания и внимательности к деталям толку мало. В общем, безопасность — это регулярно и внимательно, а не разово.