Nah, eso de a más antigua más vulnerable, en la teoría puede parecerlo, pero en la práctica casi nunca es así salvo meteduras de pata muy gordas y evidentes.
Generalmente las vulnerabilidades en sistemas que en principio deben ser bunkers, vienen por descuidos. Firms que se sacan rápido, que no han sido testeados a fondo o que no han tenido en cuenta X cosa. Cualquier cambio minúsculo en un programa puede generar una vulnerabilidad donde menos te lo esperas. Incluso en módulos que no habías tocado.
Las vulnerabilidades no es una cosa que suelan ir restándose hasta que quede un programa límpio e imposible de violar, sino que van cambiando en cada versión. A veces se cierran puertas y a veces se abren otras.