Es ist immer der User mit verantwortlich egal in welchem System. Wenn der User keine Updates macht oder sich nicht um dass System kümmert kann der Betreiber/Hersteller nichts dafür.
Updates müssen aber auch angeboten werden. Wenn da Flatpaks drin sind, die schon mehr als 3 Jahre alt sind, dann gehört das mit einem dicken fetten Warnung Banner gekennzeichnet.