Thema: wwwrun, 777 und Co.

Dein FTP-User ist ein anderer als der PHP-User. Das hast Du ja bereits fegestellt.
Andere PHP-SCRIPTE nutzen den User wwwrun. I.d.R. droht Gefahr von anderen Scripten und nicht von anderen FTP-Accounts.
Gefahr von "außen" oder Gefahr von "innen" läßt sich nicht direkt trennen. Leute die einen Account hacken, kommen i.d.R. von "außen", wobei das aber egal ist. Sie können über Lücken in Joomla und schlapper Serverkonfiguration Scripte hochladen. Sie kommen also von "außen" und agieren dann aber mit Scripten von "innen". Die Scripte müssen dabei noch nicht einmal auf dem Webspace abgespeichert werden. Oft reicht es aus einen Pfad zu "verbiegen" und dann aus einer externen Quelle (aber vom Webserver aus aufgerufen) diese Scripte zur Ausführung zu bringen. Sie laufen dann unter dem User wwwrun und dieser hat bei Dir das Recht Deine Dateien zu beschreiben...
Wobei das noch viel weiter gehen kann. Beispielsweise stehen Deine Datenbankzugangsdaten in Klartext in der configuration.php. Dies auszulesen ist so was von simple... Damit kann der "Angreifer" schon mal Deine Datenbankinhalte verändern oder eigene hinterlgen. Je nach Konfigruation hat der Datenbankuser auch File-Zugriff und kann darüber und den Rechten des DB-Deamons auf das Filesystem zugreifen...

Deine Zusammenfassung

Zusammenfassung: Als user mit wwwrun lebe ich mit dem Risiko, dass hauptsächlich eine Gefahr von weiteren usern auf dem gleichen Server ausgeht, aber nicht unbedingt von aussen, oder?!

ist somit "zu kurz" gedacht.

Eines steht fest: Du hast Dein Web NICHT sicherer gemacht, dadurch das Du bei allen Dateien den Eigentümer auf wwwrun gesetzt hast.