Обычно же дырки не в самом битриксе, а в дописаных скриптах.
Его минус в плане безопасности - пхп ланчер прямо в админке