OpenJDKの中の人は殆どなOracleの人だよ。
OpenJDK=OracleJDK
OracleがOpenJDKにパッチを提供しないことは無いだろう。
しかし一手不足とかスケールを理由で1ヶ月ほどセキュリティパッチを遅延したらどうなると思う?