Судя по названиям пакетов (скриптов сборки) их пользовательская база - 1-2 человека. И даже среди столь непопулярных пакетов лишь малый процент оказался "уязвим". Так ещё и со стороны источника.
Это при том, что многие сопроводители AUR чуть ли не сами себе предоставлены. Вот это, я понимаю, профессионализм и дисциплина, горжусь арчеводами.

А что до корпоративной Убунты (а точнее её базы - продакшн-рэди Дебиана). Там есть, например, такой популярный пакет - Grub2, который стоит, пожалуй, что у каждого. И в который сопроводитель добавляет свои портянки на Си, по каким-то загадочным причинам не принятые апстримом, чтобы реализовать функциональность, которую можно добавить одной строчкой на Shell. И из-за этих патчей там (и только там) регулярно всплывают уязвимости.

Но что-то не слышно воплей опеннет-экспертов по помойкам. Наверное потому, что эти "эксперты" - суть попугаи, что услышали, то и повторяют. Своего ума нету.

А был бы ум, знали бы, что хорошо не там, где нет ошибок, ошибки есть везде, а там, где их ищут, находят и исправляют. И ситуация даже в одном дистрибутиве очень разнородная. Чему-то досталось больше внимания, что-то как-то работает - уж хорошо. Хочешь сделать хорошо, приди и сделай хорошо.