Да, с кастомным кодом всегда сложнее — стандартные патчи и настройки не всегда цепляют. Иногда приходится именно копаться в логике приложения, чтобы понять, где дыра, а где просто ложное срабатывание. Обновлять CMS важно, но без анализа своего кода и логики безопасности толку мало.