Con Linux secondo me intendono solo kernel, altrimenti dovrebbe avere più bug dei suoi applicativi, esempio più di Firefox.
Sembra strano anche a me che la ESR abbia meno bug della release, sinceramente ho provato a cercare maggiori dettagli senza trovarli.
Adobe ne ha una cifra smisurata (trattandosi solo di un plugin), ma molto probabilmente quelli di Air sono in condivisione con quelli di Flash che effettivamente è quello che è stato preso più di mira quest'anno (il numero di update segnalati anche qui sul forum credo bastassero per non sorprendersi del risultato), molto probabilmente è perché è un buon strumento visto che è cross browser e fa molta gola agli attaccanti e, in questo caso, anche agli esperti di sicurezza che vogliono prevenire tali attacchi.
TB probabilmente condivide i bug con Firefox, solo che fortunatamente per lui nelle mail JS, WebGL e altre tecnologie che generano di solito bug di sicurezza non le sfrutta.
Comunque bisognerebbe vedere la qualità dei bug e non basarsi solamente ai puri numeri, tipo openSSL sembra non averne tanti, ma di sicuro è uno di quelli che aveva i bug più brutti come ripercussioni generali.