Не понял иронии. Drupal на PHP как раз и написан.

>Дыры есть везде ;) лишь бы проект был достаточно крупным :)

От ошибок не застрахован никто, но есть приемы которые позволяют их минимизировать и свести вероятность появления дыры почти к нулю. Например, postfix, vsftpd, popa3d. Там изначально грамотный подход.

Если рассматривать обсуждаемую дыру в Drupal, то ее бы небыло, если бы авторы drupal взяли за правило проверять переменные формируемые на основе пользовательского ввода.