Was man machen kann ist die /home/<username>/.bash_history read-only zu schalten (400).
Das ist zwar ggf. ein Komfort-Verlust, vermeidet aber, daß irrtümlich eingegebene sicherheitsrelevante Daten (z.B. Passwörter) dort im Klartext zu finden sind. Kein sehr großes Risiko, da ja eigentlich nur genau dieser User das lesen darf, aber naja....
Ansonsten ist sämtliche Standardsoftware ein typisches Einfalltor. Also z.B. CMS und Forensoftware. Insbesondere, wenn diese nicht mehr aktuell ist und Sicherheitslücken bekannt sind.
Daher sämtliche Standard-Software, wenn immer möglich über die Distribution installieren. Das gilt z.B. auch für Perl-Module (deren Installation per CPAN natürlich auch recht bequem ist, aber nicht den Update-Mechanismen unterliegt). Ein Problem stellen also auch Zusatzmodule für Standard-Software dar, sofern diese keinen eigenen Update-Mechanismus mitbringt.
In Sachen SPAM ist natürlich die Konfiguration des Mail-Servers relevant. Ein Open-Relay schafft da keine Freunde. Aber auch sämtliche Anwendungen mit Formularen und E-Mail Versende-Funktion (z.B. Kontaktformulare, Bestätigungsmails, Forensoftware) sind anfällig, um ggf. für SPAM-Zwecke benutzt zu werden. Auch Stellen an denen Anwender eigene Links bereitstellen können (z.B. Gästebücher) sind problematisch, da hier ggf. auf Malware verlinkt werden kann.