Apache tomcat a Apache Struts maji samozrejme spolecne to, ze pochazeji ze stejne organizace jako Apache httpd, a tim padem pro ne platej stejny pravidla jako pro Apache httpd. Pro velmi rozsirenej tomcat 6 stale vychazeji aktualizace presto, ze uz je davno tomcat 8. A to, ze muze byt tomcat soucast aplikace vubec nic nemeni na tom, ze update neni nic tezkyho.
Ostatne bezpecnostni zaplaty na celou dodavku je zaklad support kontraktu. Pokud to nekdo nema, tak je proste slusnej hazarder...