Se anche fosse a me non sorprenderebbe più di tanto.
Quasi certamente i gestori di quei servizi (ammesso che ci siano e non siano stati pubblicati e abbandonati in mano a chi inserisce e gestisce i contenuti) non saranno interni alla società che li utilizza, saranno stati dati in gestione a società esterne con appalti e subappalti multipli, dove ognuno si tiene una fettina, lasciando le briciole all'ultimo anello della catena che si deve sobbarcare tutto il lavoro (di cui noi non sappiamo nulla, giusto per anticipare la solita risposta del tipo "che ci vuole ad aggiornare wordpress? Lo fa anche mio cugino su Aruba"
)
Parlare di sito in wordpress o drupal è molto riduttivo e fuorviante imho, il frontend potrà anche essere stato quello ma non è realistico gestire una quantità tale di dati, documenti e quant'altro con un cms del genere, non è roba che si può fare con quegli strumenti.
Quasi certamente sarà stato utilizzato qualche altro software (es di gestione documentale) per conservare e utilizzare una tale mole di dati, credo sia più realistico concentrarsi su quella (di cui non sappiamo nulla) piuttosto che gridare allo scandalo per una versione di Wordpress non aggiornata.