50 оттенков безопасности Друпала

9. Застопорилась идея перенести исполняемые файлы за пределы сайта

Это не до конца верно.
Начиная с версии 8.1, Друпал движется в сторону того, чтобы деплой и обновление сайта, а также управление дополнениями осуществлялось с помощью Composer'а. А при таком варианте установки (если говорить ещё точнее, то drupal-composer/drupal-project) index.php и иже с ним, оказывается в подпапке ../web/.

".." здесь — это корневая папка сайта, т.е. /htdocs/my_site/, либо /public_html/mysite.com/, либо что-то ещё. В результате конфиги и папка /vendor/ оказываются на уровень выше webroot и доступа к ним нет вне зависимости от вещей наподобие .htaccess.

Разумеется, при этом нужно подправить конфиги сервера или изменить свойства в панели управления хостингом, чтобы отразить переезд index.php в /web/.

P.S.
Если же говорить в целом, то гораздо более важной проблемой, благодаря которой Друпал время от времени прореживает своё комьюнити, мне видится привычка ломать совместимость модулей при выходе новой мажорной версии (6 -> 7 -> 8).
Да, я читал, из-за чего это происходит, да, я видел сколько новых возможностей появилось, но ряд модулей, доступных для версии 7, до сих пор так и не был портирован на восьмёрку, а многие из них, судя по всему, и не будут.

Возможно это моё ощущение, но мне кажется, что при выходе 8-й версии отвалилось больше пользователей, чем при предыдущих апдейтах. Опасаюсь, что если при выпуске версии 9 привычке не изменят, то сообщество друпала рискует поредеть слишком сильно.

Был у меня сайт на малоизвестной ЦМС, лежал годами без движения, никто его не трогал. Перешел на Друпал — взломали за неделю и засрали все спам скриптами.

Когда-то профессионально проработал 4 года с Друпал 7. Своих модулей и разных решений была создана уйма. Когда вышла в релиз восьмерка, я очень сильно удивился. Ушли, вроде, на ядро Симфони, но не полностью. И в итоге уже и не семерка, но и не Симфони. А какая-то смесь бульдога с носорогом. Я тогда подумал, да и плюнул на Друпал, и полностью ушел на Симфони, с него потом на Ларавел. Что касается исправления всех багов в ядре, то лет так 8 назад я еще тратил на это время, но после того, как увидел, что пул реквесты могут висеть годами, просто забил на это. В сегодняшнем мире развитых фреймворков, где уже многое есть из коробки, использование Друпал — это самому себе стрелять в ногу.

Друпал получился на редкость открытым и прозрачным — его замечают хакеры-недоброжелатели читаю открытый багтрек, разработчики его перерастают и становятся полноценными специалистами, работает на любом хостинге и позволяет слепить из себя всё, что угодно, от визиток до порталов — главное не лениться.
А вот лентяев не любит. Неуч и лентяй на чтение документации — сайт сломался после установки первого модуля… Поленился Петька подписаться на открытый багтек и обновится вовремя — пришёл Ванька — своих банеров навесил везде, да ещё деньжат срубил за аналогичные уязвимости у конкурентов.
Простая народная истина гласит: любой замОк, созданный человеком может быть им и сломан
Если не учиться и не двигаться вперёд, поддерживая миллион строк кода совместимости, можно умереть на месте(сколько на хабре по этому поводу нытья) или зарасти «бородой», как это сделал дед на букву «Б». А если завтра квантовый компьютер заработает на полную мощь? — насколько надо увеличить итерации парольных фраз — наверно настолько, что электрические компьютеры отправятся на помойку. Правильного ответа не существует в вопросе течения времени, но верно одно — друпал жив и здоров, и у него есть доктора, пусть даже и лечат его по 5 лет обновляя патчи в багтреке, к сожалению не все болезни излечимы и половиной из вышеперечисленного болеют все.
Если Вы молоды — ваш выбор DRUPAL, возродившись как птица-феникс в очередной новой версии, с удобным набором современных, актуальных и открытых технологий с коробки с возможностью бесплатного расширения удобным вас образом, как кликая мышкой, так и написание своего кода, которые поспособствуют движению вперёд, а не забиванию очередного костыля вслепую, лишь бы работало.