43,1% веба сидит на WordPress. Это не “популярная CMS”, это огромная поверхность атаки.

43,1% веба сидит на WordPress. Это не “популярная CMS”, это огромная поверхность атаки.
И когда Wordfence пишет про +68% уязвимостей в плагинах и темах за год, вывод простой: ядро обновить мало. Самый неприятный риск обычно живёт не в wp-admin, а в заброшенном плагине, который ещё подключён и всё ещё исполняется.

WPScan — нормальный инструмент для тех, кто хочет не гадать, а проверять. Он сопоставляет версии ядра, тем, плагинов и известные CVE. То есть даёт не “у вас всё плохо”, а конкретный список: что найдено, какая версия, насколько критично, есть ли публичный эксплойт.

Практический пайплайн такой:
1) инвентаризация установки;
2) сверка версий с базой уязвимостей;
3) проверка, что лишние плагины реально удалены, а не просто деактивированы;
4) повторный скан после патча.

Для SEO это тоже не абстракция: взломанный WP = редиректы, спам-страницы, мусор в индексе, просадка доверия и ручные чистки в Search Console.
Без процесса управления уязвимостями WordPress — это не CMS, а лотерея.