>дырки везде находят.

Такое мнение сформироавно из-за обилия низкокачественного софта.
Дырки бывают следующих видов:

1 Неизлечимые проблемы ДНК авторов, которые не думают о безопасности вообще и не учатся на ошибках (fetchmail, qpopper, proftpd (сейчас перешел в 3 вид), очень много популярных программ на php)
2 Софт написан в глубокой древности когда о безопасности ни кто не думал, поможет только 100% редизайн и переписание (wu-imap, wu-ftpd, sendmail, bind 4,8);
3 Групповая разработка с наличием определенного процента рас*****ев в группе, за кодом которых сильно не следят (MySQL, php)
5 Случайные ошибки вполне квалифицированных авторов (apache, openssh, exim)

>следить надо, как и за всем.

Советую следовать правилу, ни когда не использовать софт если в нем хоть раз находили remote exploitable дыру. Такой софт есть.