So ist es.
Und ich sag ja nicht das WordPress unangreifbar wäre - im Gegenteil. WordPress ist immer noch DAS am meisten infizierte/gehackte CMS.
Die Realität ist aber auch das, was wir hier (und wo anders) immer wieder im Forum lesen: Ein Anfänger möchte eine Website, WP ist einfach installiert, am besten noch ein Passwort was man auf keinen Fall vergessen kann, noch ein paar fancy Plugins von 2008 und ein kostenloses Theme hinterher: Et volià, fertig ist die offene Phishingseite.
Wenn man WP härtet, entsprechende Plugins installiert, auf die weitere Plugin-Auswahl achtet, starke Passwörter und 2FA für die gesamte Infrastruktur (nicht nur WP & DB) verwendet, ist die größte Gefahr gebannt, und WP ist so (un-)sicher wie alle anderen CMS.
Und wenn man jetzt noch ein Monitoring und Backupmanagement hat…