Die Maintainer und Sicherheitslücken in Paketen werden zentral notiert, da kann man sich darauf einstellen.
Was man auf jeden Fall nicht hat, ist eine Vielzahl an 3rd party libs durch eine Vielzahl von Flatpaks.

Ubuntu soll auch zum Großteil ungepflegt sein.

Deswegen empfehle ich immer den Wechsel auf Debian.

Wenn bei Debian alle Freiwilligen plötzlich aufhören sollten, dann stirbt die Distribution ebenfalls.

Unwahrscheinlich.
In der Regel finden sich neue Leute.

Also warum sollte es nicht auch bei AppImage & Flatpak funktionieren?

Weil es bei den Open Source Projekten für die Windows Installer definitiv nicht klappt.

Es müssen sich nur die Feiwilligen finden, die die Arbeit machen.

Es ist eigentlich die Aufgabe der Open Source Projektmaintainer, die die Pakete erstellen. Die müssen dann auch minorversionen nachliefern, wenn die Lib eine Sicherheitslücke enthielt und ausgetauscht gehört.

Dass sie das aber nicht tun, sieht man an den Windows Installern, die ebenfalls von den Open Source Projektmaintainern kommen.