Genau, Ubuntu versorgt nicht alle Programme gleichermassen schnell mit Sicherheitsupdates.
Das gilt nicht für main, wohl aber für universe und multiverse, hier wird zum Teil überhaupt nicht "gefixt".
Ein Beispiel von vielen ist Tor.
Z.B. findest Du unter
https://wiki.torproject.org/noreply/TheOnionRouter/TorOnDebian
den Satz:
"Do not use the packages in ubuntu's universe. They are not maintained and most likely old and therefore miss out on stability and possibly security fixes."
So steht es mit vielen Paketen in Ubuntus universe- und multiverse-Zweigen.

Debian hingegen versorgt fast alle angebotenen Programme mit regelmäßigen Sicherheitsupdates.
Debians main-Zweig umfasst dabei im Gegensatz zu Ubuntu auch die meisten der Pakete, die sich bei Ubuntu in universe und multiverse befinden.
Darüber hinaus wird auch versucht - wenn irgendwie möglich - Pakete im contrib-Zweig zu aktualisieren. Ein Beispiel ist Suns Java.
Für non-free gibt es aber in der Regel keine Updates, da kein Sourcecode vorliegt. Zu einem Problemfeld könnten sich so die proprietären NVidia-Treiber entwickeln, wenn sie denn irgendwann einmal eine Sicherheitslücke aufweisen sollten.
Dieses letztere Problem betrifft aber auch Ubuntu. Ubuntu weist allerdings bei jeder Installation eines solchen Programmpakets ("restricted") ausdrücklich darauf hin, dass Ubuntu hier keine Unterstützung gewähren kann.

Fazit:
Wer Ubuntus universe- und multiverse-Zweige (intensiv) benutzt, muß sowieso alle sechs Monate updaten, und zwar aus Gründen der Systemsicherheit.
Eine LTS-Version hilft also - im Hinblick auf die Systemsicherheit - nur dann weiter, wenn man sich auf den im Vergleich zu Debian "kleinen" main-Zweig von Ubuntu beschränkt.
Ubuntu macht allerdings aus dieser Tatsache auch keinen Hehl, das ist bekannt.