Кто вам такую глупость сказал ?
1. Иначе в репозиториях не было бы пакетов 12-15 летней свежести!
2. Я на предыдущей странице указал, что состою в команде разработчиков. 99% изменений и обновлений - это всякие пожелания по работе и удобству использования. Практически нет обновлений по причине обнаружения уязвимостей.
Ядро и драйвера - это отдельная история.
3. Если посмотреть spec-файлы в том-же Альте, то найдётся приличное количество "битых" ссылок и ссылок ведущих уже давно не на сайт разработчика! По каким-то соответствующие багрепорты оформлены, а по каким-то - нет. Но! В этом не разработчик виноват, а мэйнтейнер, который при сборке не проверил, а не "мёртвая" ли ссылка? И не изменил соответствующий URL на актуальный, когда он изменился.
Вы хоть раз писали программы
Полностью в одиночку - нет. Я больше по линии локализации и интернационализации.
Но да, закрытый код может содержать уязвимости, о которых в силу различных причин даже разработчик может не знать.
Никогда не поверю, что разработчик может не знать об этих уязвимостях, потому-что у разработчика такого софта исходный код на руках есть!