Geringfügig vielleicht beim nicht aktualisierten 2004er beim 2006er eher weniger, außerdem kann man den ISA ja auch einrichten um Exploits auszufiltern, da gibt es ja viele Möglichkeiten.
Aber du hast Recht es wird OFF TOPIC, wobei Sicherheit natürlich bei einem Server immer ein Hauptthema ist und ja auch den SME Server betreffen kann, wenn er geöffnet ist oder/und im Netz mit unsicheren Rechnern fungiert.
Muss zugeben, auf meinen SME habe ich den roote Zugang für Remote über SSH geöffnet, sollte man eigentlich nicht tun, aber da der SSH Remote nur einer bestimmten festen IP Adresse zur Verfügung steht, ist die Gefahr wohl etwas minimiert.