Debian unstable безопаснее чем testing?

Не только безопаснее, но и стабильнее. А вообще, критические уязвимости фиксят во всех ветках.

виновата сама политика обновлений веток,
если в *stable просто накладывают патч, перекомпиливают ту же версию пакета
и выкладывают ее в репозиторий (проверки на совместимость и конфликты тут минимальны, т.к. версия та же). Опять таки выделены для этого люди.

в разрабатываемых же ветках совсем иначе, там обычно предпочитают взять новую версию с upstream, то есть уже исправленную разработчиками.
Естественно пакет новый, версия пакета новая, он попадает в sid где проходит процедуру проверок, карантинный отстойник и только после этого попадает в testing, вот собственно и причина того почему в testing уязвимости исправляются через месяц и более...
Через security.* в разрабатываемых ветках закрывают ну очень уж большие дырки,
если в testing тянули даже с libxml (более месяца) и udev (2 недели)

А почему нельзя сразу залатать а потом обкатывать новую версию в сиде?

>А почему нельзя сразу залатать а потом обкатывать новую версию в сиде?

Не нужно.
По определению, testing (как и unstable) — для ССЗБ со всеми вытекающими ;)
Нужна стабильность и безопасность — юзаем stable. Все прочее — поиск приключений на свою задницу.