Обновления движка реально закрывают кучу дыр, но часто ломают совместимость с плагинами — тут либо рискуешь стабильностью, либо играешь с безопасностью. Иногда проще держать движок в актуальном состоянии и аккуратно выбирать проверенные плагины, чем пытаться сохранить всё старое, особенно если форум живой. В общем, идеальной схемы нет, всё через компромиссы.

В общем, лучший вариант — не запускать форум на сильно старом движке и выбирать только самые популярные и поддерживаемые плагины. Обновления периодически ставить, даже если что-то ломается, потому что дырки в безопасности — это реально хуже, чем пару неисправностей в темах. Лучше перед апдейтом сделать бэкап, чтобы откатиться, если что.