На схеме всё ясно.

Есть разработчики программ, которые работают с исходниками и обновлениями безопасности.

Есть мэнтейнеры пакетов и команда безопасности, которые тоже работают с исходниками и обновлениями безопасности и держат связь с разработчиками программ.

Мэнтейнеры и команда безопасности черпают информацию из Bug Tracking System и выкладывают обновления в очередь на добавление в репозитории.

Основных репозиториев три штуки: для новых программ, для тестируемых программ и для стабильных программ. Время от времени происходит заморозка тестируемого репозитория и он постепенно готовится стать стабильным. Когда тестируемый репозиторий становится стабильным, происходит разморозка тестируемого репозитория и выпуск нового стабильного репозитория. Цикл разработки продолжается.

Дополнительных репозиториев тоже немало: экспериментальный, для обновлений безопасности (тестируемого и стабильного выпусков), для просто обновлений (тестируемого и стабильного выпусков), для часто обновляемых программ (тестируемого и стабильного выпусков).

Стабильными репозиториями пользуются “промышленные” пользователи, тестируемым и нестабильным – “продвинутые” пользователи. И те и другие держат обратную связь с мэнтейнерами через Bug Tracking System, а иногда держат связь и с разработчиками программ.