GPL исходниками пользуются даже NASA и Роскосмос, так что вполне вероятно, что и Сбер тоже
А варианты - дело рук тестировщиков, особенно когда проект огромный, естественно всех дыр не закроешь.
Причём когда разные команды занимаются проектированием и безопасностью вероятность не закрытых брешей возрастает экспоненциально.