Ставите ли вы апдейты, если этого не просят ради поддержания актуальности, закрытия CVE и etc?
Обновления безопасности обязательно, особенно на системах которые смотрят в интернет.
Обновления функционала, вот тут лучше  "работает - не трогай" :) Примеры. 1. Есть в аэропорту рентген-сканер багажа, управляется компьютером с предустановленной ОС Windows NT, попытка обновить - это возможность получить очень дорогой в оживлении кирпич. 2. Стоит в одной организации, в далеком-далеком филиале файловый сервер на ОС Windows 2003 R2, поставить более свежую ОС не позволяет отсутствие новых драйверов, поменять железо не позволяет финансовая обстановка. Тем не менее аптайм у него 2 года и ни одного разрыва. Работает ?) Не трогай :)
Все зависит от ситуации.
Если есть вероятность возникновения проблемы, то ставишь на тестовую машину/виртуалку нужную версию ОС и ПО, разворачиваешь там один "сайтов на cms, которая такакая же древняя".
Протестировать работоспособность на типичных задачах. Если проблем не будет, то можно и в бой кидать.
Если движок обновить не получится, то оно хотя бы будет работать на более новой версии http-сервера и интерпретатора с закрытыми дырками.