Wer sich regelmäßig Bugtraq durchliest weiß, dass dort PHP-Apps inzwischen den Großteil der Security-Meldungen ausmachen. Spitzenreiter ist übrigens phpBB.