Фильтрация входящих данных и CSRF-токены — самые простые, но важные штуки. Без них любой скрипт или подделка запроса могут легко пролезть. Обновлять CMS нужно обязательно, иначе все меры могут оказаться бесполезными, потому что старые баги всегда найдут, чем воспользоваться.