Ja. Jede App, jede Webseite, jeder Datei und jedes mal wenn WiFi oder Bluetooth aktiviert wird erhöht sich das Risiko, dass eine dieser Lücken ausgenutzt wird. Das Risiko lässt sich zwar reduzieren, indem man nicht jede App installiert, nicht jede Webseite besucht und nicht jeder Dateianhang geöffnet wird, aber nicht vollständig auslöschen.
Kommt drauf an. Im Grunde ist es „nur“ das Abwägen von Risiken und letztendlich die Wahrscheinlichkeit, ob ein bestimmtes Ereignis eintritt oder nicht.
Ich kenne Anwender, die ein noch älteres Android Gerät verwenden, fortgeschrittene Kenntnisse haben und noch nie Malware auf dem Gerät hatten. Problematisch dabei ist jedoch, wenn es jemand auf dich abzielt, dieser leichter eine Möglichkeit finden wird. Das trifft aber im Grunde auch auf ein aktuelles Smartphone zu, denn letztendlich ist es immer nur eine Frage von Zeit und Geld, die der Angreifer aufwenden kann und möchte. Wenn man in einer bestimmten Risikogruppe ist (Journalisten, Anwälte, Whistleblower, usw.) würde ich nur aktuelle Geräte verwenden bzw. ganz darauf verzichten.