Обычно же дырки не в самом битриксе, а в дописаных скриптах.

Его минус в плане безопасности - пхп ланчер прямо в админке