Isso depende da situação. Os administradores do projeto podem criar uma atualização, mas o usuário ou organização também deve aplicar essa atualização.
O código aberto não altera o fato de que qualquer pessoa que utilize software continua responsável por um gerenciamento cuidadoso.