1) Am Ende ist alles irgendwo eine Datei. Darunter fallen auch SQL-Einträge. Es ist also auch möglich ohne Query, "SQL zu bearbeiten". Zwar ist WoltLab gesichert, aber am besten sollte man auch eine aktuell unterstütze PHP Version nehmen.
2) Nein.
3) VPN & BIND sind die Stichworte.
Du erstellt eine eigene VPN auf deinem Server, dann verbindest du dich mit einem VPN-Client mit der VPN deines Servers. Du nutzt jetzt also die IP-Adresse des Servers. Jetzt bindest du alle BackEnds auf die Server-Ip. Sprich meinforum.com/ACP würde die Verbindung ablehnen, wenn deine IP nicht die des Servers ist. Das kannst du beliebig fortführen (SSH, MySQL etc.)
Die IP deines Servers anzunehmen (IP-Spoofing) ist meist etwas schwieriger, gerade dann, wenn dein Server richtig konfiguriert ist.
Aber das Thema ist A) lang & B) ein Teufelskreis. Entwickler erfindet Ding, Hacker findet Lücke, Entwickler schließt Lücke, Hacker schreibt Bypass und und und. Macht der eine was, tut es der andere auch.