Sicherheit ist ein zweischneidiges Argument, denn du musst jetzt auch noch alle Komponenten des containers mit maintainen. Und gerade wenn man fertige Container zB von dockerhub runterlädt wird das idR nicht von upstream gemacht. Und die Software läuft idR wenigenstens mit Netzwerkzugriff, dh. man hat ein wunderbares Sprungbrett ins eigene Netz gebaut.

Noch schlimmer wird es, wenn die Software exakte Versionen (inclusive patch level) von anderen Komponenten benötigt. Dann hilft einem fast gar nichts mehr (weder container noch native Pakete). Für mich das schlimmste, wenn man software von anderen benutzt aber gleichzeitig diesen Mistraut, daß sie ein update nicht ordentlich auf Reihe bekommen. Dann lieber selber schreiben, weil man es ja eh selber maintainen muss oder es gleich nicht benutzen ...