На сервере может работать всего один сайт, а из интернета при этом оставаться доступными SSH, база данных, панель управления, тестовый API и несколько портов Docker-контейнеров. Причём владелец VPS иногда даже не знает, что часть этих сервисов слушает внешний интерфейс. Открытый порт сам по себе ещё не означает уязвимость. Но он означает, что до работающего за ним сервиса можно попытаться установить сетевое соединение. Если сервис вообще не должен принимать запросы из интернета, такой доступ увеличивает поверхность атаки без пользы для проекта...