Quem é responsável se uma vulnerabilidade for encontrada?

Isso depende da situação. Os administradores do projeto podem criar uma atualização, mas o usuário ou organização também deve aplicar essa atualização.

O código aberto não altera o fato de que qualquer pessoa que utilize software continua responsável por um gerenciamento cuidadoso.