Ребят, давайте соберём вместе простой список, который можно быстро пройти, чтобы не сливать форум из-за какой-то тупой пары дырок.

1. Обновления — самая элементарная вещь. Проверяете, чтобы движок и плагины были свежие? Старые версии — часто дыра.
2. Права на файлы — не должно быть 777 никуда без нужды. Часто забывают, а после — любые чужие скрипты могут лазить.
3. SQL-инъекции — хотя базовые фильтры сейчас почти у всех, стоит проверить формы на предмет неподходящего ввода.
4. XSS — смотрите, где могут залететь скрипты от юзеров. Форумы - классика для таких атак.
5. CSRF — актуально, если есть формы с важными действиями (смена пароля, настройки).
6. Логи и аварийные дампы — оставляете ли их в открытом доступе? Это фишка для лулзов.
7. HTTPS сейчас обязательный минимум — без него никто ничего серьёзного делать не будет.
8. Бэкапы — не «если», а «как часто» делаете и где храните?

В общем, не так сложно, но часто именно эти моменты забываются. У кого есть свои мерки или чек-листы — делитесь, интересно сравнить, насколько мы все в защите или наоборот.