Bei Debian wird wohl gerade eine Diskussion geführt, wie man dort zukünftig mit "unbetreuten" Paketen verfahren will . Da stellen sich natürlich ein paar Fragen:

• Was heißt "unbetreut"? Macht man dies fest am Zeitpunkt des letzten Updates? Am Zeitpunkt des letzten Foreneintrags oder der letzten Rundmail? Nach dieser Logik würden dann auch irgendwann "ausgereifte und "stablile" Pakete drohen rauszufliegen.
• Es gibt ja Projekte, bei denen sich aus Gründen lange Zeit nix tut und die teils nach Jahren aus ihrem Dornröschenschlaf erwachen (z.B. durch neue Maintainer oder weil sie plötzlich mehr öffentliche Aufmerksamkeit bekommen oder weil plötzlich aus Gründen Aktualisierungen nötig werden, z.B. um sie fit für Wayland zu machen, etc.)
• Was ist, wenn diese "rausgeworfenen" Pakete Basisfunktionalität bereitstellen (Netzerk, Datenkomprimierung, GUI, etc.) oder irgendwelche Alleinstellungsmerkmale besitzen. Mit diesem Rauswerfen würde man darauf aufbauende Projekte mit absägen. Die XZ-Lücke zeigte uns exemplarisch, dass selbst "gut betreute" Pakete zu massiven Problemen führen können.

Aber generell ist es sicher nicht schlecht, wenn der Umfang der angebotenen Pakete einer Distribution nicht völlig durch die Decke geht. Andererseits bin ich wenig begeistert davon, wenn Pakete sich in externen Repos befinden und diese dann nicht den Qualitätskriterien des distributionseigenen Repositories genügen. Mit der Einbindung von "Debian Multimedia" beispielsweise habe ich mir mal eine Installation zerlegt, weil dessen Pakete scheinbar kaputt waren, Und ganz doof sind "generische" Pakete, die angeblich "überall" laufen. Binde ich z.B. das Repo von Gajim ein, ist dieser dann kaputt. Ich vermute, dass manche Pakete nur auf Ubuntu getestet werden, sich dann zwar auf Debian installieren lassen, dort aber nicht wirklich lauffähig sind. Insofern - und da kommen wir wieder zum Anfang des Themas zurück - braucht es mehr (Wo)Men-Power, die sich um die Pakete auf allen Distros gleichermaßen kümmern. Oder wir machen etwas ganz anderes: Wir bauen Distros, die nur noch Basisfunktionalität bieten und stecken alle Anwendungen in Container wie Flatpack o.ä. Dies führt dann aber wiederum zu ganz anderen Problemen und Zuständigkeitsanforderungen. Und wenn es dann dort zu irgendwelchen Problemen kommt, haben wir diese dann direkt auf allen Distros gleichermaßen! Insofern hatte ich bzgl. XZ mit meiner "ungewöhnlichen" Distro in diesem einen Fall mal Glück gehabt, weil diese Lücke explizit nur im Zusammenhang mit SystemD auftrat.

"Oh Gott, wir müssen alle sterben."