http://www.securitylab.ru/search/index.php...k_vulnerability
http://www.securitylab.ru/search/index.php...k_vulnerability

А низкая степень защищенности - это наверное когда вход в админку без пароля и находится прямо на главной странице.

К таким сообщениям надо относится критичнее.
Количество сообщений о дырах которые можно найти в интернете лишь косвенно связано с безопасностью CMS... если вообще связано. Распространенность софта, платность или бесплатность оного, наличие конкурентов, стаж и т.д. - существенно влияют на наличие сообщения о дырах.
Плюс надо учесть, что securitylab не особо заботится о реальности публикуемых дыр. А с тех пор как он переехал на одну платную CMS, там стало несколько больше сообщений о не существующих дырках в других CMS, или давно пофиксенных дырках в них же ...

Давайте поищем сообщения об уязвимостях пхпнюк и джумлы на любом авторитетном для Вас ресурсе по безопасности

Обе CMS если посмотреть изнутри не являются образцами ни безопасности, ни производительности. Строго говоря как и любое "универсальное" open source решение.

Вы прочитайте 2-ой наш абзац в отквоченном, а не последний. Помним тут же высказывания уважаемых людей о том, что количество опубликованных сообщений о дырах неизвестной достоверности никак не является мерилом безопасности, правда найти сейчас ничего не удалось Но вот прочитайте тут пункт 2 для завтравки.
Ни одна CMS не является ни образцом безопасности, ни образцом производительности. Поэтому смысл утверждения о том, что какие-то две конкретных тоже не являются образцами от нас ускользает.
Вы действительно считаете, что "закрывание кода" прибавляет производительности и безопасности? Вспомните хотя бы классику - unix VS windows.

Огромная просьба к возможным участникам темы, по мере возможности обходиться без названия конкретных CMS и конкретных примеров дыр.

Та cms секурна которая генерирует статические html а админка лежит на локальном компьютере вебмастера

Если будет отдаваться одна статика, то как пользователь будет с нею взаимодействовать? Не вижу принципиальной разницы между такой системой и проектом МС Паблишера.

Взаимодействовать будет при помоще браузера
Естественно что для всяких форумов и т.п. такое не подойдет