Какая CMS с открытым кодом имеет минимальное количество уязвимостей?
Wordpress - дыра
Drupal - дыра 
joomla - дыра
никакая
Ну Вордпресс например реализовал принудительные автоматические обновления движка, относящиеся к безопасности (да и любые критические обновления в целом). Причем они довольно регулярны. А сейчас вон вообще к релизу 4.4 готовят.
Мне кажется, что чем чаще обновляется движок - тем меньше в нём дыр. По крайней мере, судя по ченжлогам вп, дыры там закрывают регулярно.