Какая free cms менее уязвима для взломов?

Какой же странный этот ваш PHP-мир. Самописные фреймфорки у вас безопаснее, развиваемых годами, ведущих open source проектов, на которых стоят миллионы сайтов. Я даже не знаю, это больше комплимент в сторону смелых и отважных разработчиков собственных фреймфорков, которым приходится повторять нелегкий путь, пройденный до них тысячами таких же борцов за безопасность, или это комплимент в сторону безгранично доверчивых клиентов, которые смело полагаются на безопасность ведущих в отрасли решений на основании того, что этими же решениями пользуются тысячи других контор с серьезными именами.

Голый html и css. Взломать невозможно

Попробуйте MODX.
Она не так популярна как WP и Джумла.

Главные правила защищенных систем:
1. Все важные данные только на сервере в зашифрованном виде
2. Все запросы только через https
3. Проверка паролей на прочность, двухфакторная аутентификация, быстрое протухание сессии
4. И да, обычно такие системы всегда самописные, так как сторонним решениям не может быть доверия

Самописная... Ибо то как она работает знает тот, кто ее писал. А популярные CMS взломать, дело мозгов и времени)

есть такая, недавно для себя открыл - некоммерческая DotPlant2, на фреймворке Yii2, дописывать можно что угодно, если не хватает функционала, под SEO уже разработчиками заточена, функционал SEO генератора есть, правки вносятся легко, админка несложная, но единственный минус на мой взгляд — требовательная к хостингу.

Насчёт уязвимости никто не даст точный 100% ответ. Да и 100% защищённая система - это система на одном компьютере без доступа к сети, закрытый в бункере)))
Лично я бы посоветовал использовать фреймворк Laravel. Быстрый, удобный, практичный. В последнее время развивается довольно быстро и набирает популярность в России.
Из CMS советую October. October CMS — это система, написанная на Laravel фреймворке.

Ок, если взять какой-то фреймворк и на нем написать, это снимет хоть немного вероятность простоты взлома?

Безопасный - только на словах и бумаге, в нашем мире нет ничего безопасного, сломать могут все.
А если по делу, то берите самые популярные cms, если хотите cms и все, просто примите все возможные меры для повышения сложности взлома.