Correções de segurança geralmente são backportadas, sim. Bugs críticos (aqueles que impedem totalmente o uso do Discourse) também são backportados. No entanto, muitos bugs menos críticos podem não ser. O próprio backport traz riscos: regressões não intencionais podem ocorrer, usuários em versões estáveis são forçados a atualizar, entre outros.
Nossa recomendação geral é que os sites sigam a branch tests-passed (que é a padrão) e atualizem quando uma nova versão (beta) for lançada. Há certos casos em que a versão estável pode ser recomendada, por exemplo, em sites com plugins complexos que sobrescrevem templates do núcleo. Mas para um site padrão instalado via Docker, mantenha-se na branch tests-passed. Embora o termo “beta” na indústria de software tenda a fazer as pessoas pensarem “haverá bugs”, esse não é o nosso uso pretendido. Todas as versões do Discourse — tests-passed, beta, estável etc. — possuem bugs.
Se você encontrar um bug na branch tests-passed e relatá-lo, há grandes chances de ser corrigido em poucos dias, e você poderá atualizar para que o bug desapareça. Você pode encontrar mais bugs (no sentido de bugs únicos), mas eles serão corrigidos rapidamente. Já na versão estável, como o Kris mencionou, você não deve ver novos bugs durante o ciclo de 4 a 6 meses de lançamento; no entanto, qualquer bug que você encontrar só será corrigido na próxima versão estável. É provável que você tenha mais bugs a qualquer momento do que na branch tests-passed, já que eles não estão sendo corrigidos, mas os bugs devem permanecer constantes.