имхо спорный вопрос...
обновления этож не только исправления закрывающие уязвимости, которые могут использоваться вирусами, хакерами с эксплойтами и прочее... обновления включают в себя новые возможности системы, всякие изменения, теоретически полезные... багфиксы и прочее.
нормальный файервол и антивирь это конечно хорошо и обязательно, но вот базовая защита начинается с обновлений ОС. антивирь не панацея особенно на основе сигнатур, персональный сетевой экран... опять же использование уязвимостей архитектуры сетевых протоколов далеко не 100%. можно и благодаря ошибкам в ОС или прикладном ПО чего-нибудь подхватить.

ну вот к примеру появилась инфа об уязвимости ms08-067 осенью 2008, почему бы не установить необходимое исправление и не ждать когда появиться вирус kido/Conficker после НГ в 2009, надеяться на настроенный файрвол, у которого закрыты все порты в том числе 445/tcp, а этот вирус вдруг оказался на флешке, подключенной при включнии компа, и антивирус еще не успел обновиться после выходных, да и автозапуск с флешки был включен, вопреки рекомендациям по безопасности. ну как результат использование ошибки или уязвимости...