Eu costumo fazer todas as atualizações no ramo estável, sem problemas por anos e anos, mesmo passando de um lançamento para outro.
Meus servidores vivem com um diário, executado manualmente , upgrade-system (excelente ferramenta) e eles foram atualizados e atualizados de Woody para Lenny de forma simples.
Claro que não faço as atualizações via cron, só obtenho a disponibilidade das atualizações desta forma.
No caso de pacotes principais como o glibc, primeiro testo a atualização em uma máquina que não seja de produção, é claro.
PS:
Eu recomendo strongmente upgrade-system , pois ele também executa o deborphan e ajuda a manter o sistema atualizado e limpo ao mesmo tempo
Meus 2 centavos
Editar:
Note que dentro de uma determinada versão (Lenny, por exemplo), poderia perfeitamente ser uma "sub-release", digamos 5.0-r1, 5.0-r2 e assim por diante.
ConformerelatadonapáginadaWikipedianoDebian,umaversãoestávelpodeseratualizadaparaatenderaquestõesdesegurançae/ouusabilidade:
"stable, presentemente aliased lenny, é a versão atual que possui um software estável e bem testado. A estabilidade é feita por testes de congelamento por alguns meses onde os bugs são corrigidos para tornar a distribuição o mais estável possível; então o sistema resultante é liberado como estável. Ele é atualizado somente se correções importantes de segurança ou usabilidade forem incorporadas. "
A resposta curta para a oposição do asdmin é que é perfeitamente possível ter atualizações não relacionadas à segurança mesmo dentro da mesma versão estável principal