mij te invito al sitio web de apache y verifique que la información que suministras en cuanto al número de bugs de apache no es correcta.
Actualmente se encuentran
abiertos 54 bugs de apache para la versión 1.3 y para versión 2 alrededor de 752
Y si verificas los que han sido cerrados y confirmados por Apache encontrarás que son MUCHOS.
La discusión de IIS y Apache es mediatica pero no se debe tener fanatismo para defender a una u otra; como dije yo utilizo apache con mucha frecuencia y también IIS pero me tienen loco las vulnerabilidades de php