Самое простое часто спасает — элементарная валидация каждого входящего поля и нормальные права доступа. Если на это забить, то потом любые сканеры мало помогут. И правда, много дыр появляется из-за плагинов или сторонних библиотек — лучше уж меньше, но проверенных. Пользовательских скриптов руками проверить иногда полезно, автоматом не всегда поймаешь.