В Joomla! 3.6.x была найдена критическая уязвимость. Релиз безопасности запланирован на 25 окт. 2016 - страница 2 - Безопасность сайтов на Joomla

Судя по всему, уязвимость охватывает всю линейку 3.x (а может ещё и 2.5-1.5), в том числе и 3.6.x. Срочное обновление (а не патч для legacy версий) это подтверждает.

Это решает проблему...

Это добавляет проблему, т.к. нередко после обновления сайты перестают корректно работать, прецеденты уже были. Обновлять нужно, предварительно проверив работу, а не по крону.

Автообновление - зло

Я бы не сказал что не редко. Особенно в последнее время что не обнова то геморой.

Можно сделать как на WP, мелкие обновления система ставит сама, крупные ждет пользователя. Если в системе будет данная вещь, то она может быть отключаема и каждый сам решит нужно это ему или нет.