Consequência de não atualizar

Bom dia, pessoal. Espero que estejam bem. Tenho uma dúvida: alguém aqui tem um servidor com mais de 10 anos sem atualizar? Acontece que tenho dúvidas; uso Debian 12 com Virtualmin no meu servidor web e queria migrar para o Rocky Linux, que dá suporte de 10 anos, mas é um trabalho pesado para mim reinstalar tudo.

Minha pergunta é: é necessário atualizar? Posso ficar com o Debian 12? Quais seriam as consequências? Alguém aqui já teve problemas com invasões (atenção, já fechei todas as portas)?

Alguém me dá sua opinião, por favor?

Eu não me complicaria mudando para o Rocky só por isso.
Se o Debian 12 funciona bem para você, pode continuar com ele tranquilamente enquanto tiver suporte e for instalando as atualizações de segurança.

Quando o Debian 12 ficar sem suporte, isso também não significa que você tenha que formatar e montar tudo do zero, dá para ir atualizando para as versões seguintes do Debian.

O que eu evitaria é ficar anos com uma versão que já não recebe patches. Mesmo que você tenha fechado as portas que não usa, as que precisa manter abertas para o site ou para administrar o servidor continuam tendo serviços por trás e ali também podem aparecer vulnerabilidades.

No seu caso eu continuaria com o Debian, manteria tudo atualizado e, quando chegasse a hora de passar para uma versão nova, faria isso com calma e com um bom backup antes.
Se agora mesmo tudo funciona bem para você, não vejo motivo para se meter no trabalho de migrar tudo para o Rocky.