Ну да, многие старые уязвимости до сих пор живы, потому что банально не патчат часто. Сейчас ловлю главным образом на неправильных настройках API и слабой авторизации — сканеры помогают, но без ручной проверки логики фиг что поймаешь. Главное — не игнорировать обновления и не пихать в прод старый хлам, тогда меньше проблем будет.