W styczniu 2007 popularne blogi poświęcone optymalizacji pod kątem wyszukiwarek (SEO), a także niskobudżetowe komercyjne blogi z AdSense, zostały skierowane i zaatakowane przy użyciu exploita WordPress. Oddzielna luka w zabezpieczeniach na jednym z serwerów sieci Web witryny projektu pozwoliła wprowadzić kod, który można wykorzystać w formie tylnych drzwi do niektórych plików do pobrania z WordPress 2.1.1. Wersja 2.1.2 rozwiązała ten problem. Poradnik wydany w tym czasie zalecił wszystkim użytkownikom natychmiastowe uaktualnienie.
W wywiadzie udzielonym w czerwcu 2007 Stefan Esser, założyciel zespołu PHP Security Response, krytycznie wypowiadał się na temat bezpieczeństwa w programie WordPress, powołując się na problemy z architekturą aplikacji, które sprawiały, że trudno było napisać kod bezpieczny od luk typu SQL injection.
W czerwcu 2013 okazało się, że niektóre z 50 najczęściej pobieranych wtyczek do WordPressa były podatne na typowe ataki internetowe, takie jak SQL injection i XSS.