Всё верно, самая боль — это когда забрасываешь форум и не следишь за обновлениями. Часто админки обычным паролем защищены, а двухфакторка вообще отсутствует — сами подставляются. И да, если не фильтровать загрузки, не удивляйся чужим скриптам на сервере. Простая профилактика реально спасает много нервов.