Что касается вопроса из заголовка - да, старые ОС потенциально уязвимы, поскольку хакеры продолжают писать новых зловредов, а защитой от них никто для старых ОС не занимается. Причина - силы разработчиков не бесконечны, им приходится тратить свои усилия на то, что сохраняет актуальность.
В деле отлова зловредов сторонние антивирусы способны заменить встроенные (которых, к тому же, в WinXP никогда не было). Но беда в том, что современная хакерская активность не ограничивается засылкой вирусняка и т.п. Гораздо распространённее (и доходнее), например, кража персональных данных.
Т.е. в общем случае нынешние хакеры занимаются не устраиванием гадостей простому пользователю, как это было 20 лет назад, а поиском уязвимостей. Создатели и производители ОС тоже ищут уязвимости в своих изделиях, но с противоположной целью - залатать эти бреши побыстрее и понадёжнее. А теперь прикиньте - дыры в безопасности WinXP и Win7 давно найдены и известны, но их никто не устраняет, хакерам самое раздолье. Это и есть главная причина для перехода на поддерживаемые версии Винды.
Уязвимостей существует великое множество видов, причём постоянно ищутся новые (и со стороны нападения, и со стороны защиты). И то, что считается заражением вирусом - незаметная для пользователя подсадка на его комп нежелательного для него софта - это лишь часть опасностей. Т.е. классические антивирусные программы не решают всех проблем безопасности.
То же самое и файрволлы. Это всего лишь межсетевые экраны, затрудняющие прямой доступ в ОС извне. Если такой доступ осуществляется без применения сетевых технологий (скажем, с дискеты), то и самый крутой файрвол будет бесполезен.
А вот постоянная работа поставщиков ОС по выпуску обновлений безопасности - это работа комплексная, по всем возможным направлениям. Хотя и тут есть нюансы - не все новшества, появляющиеся в ОС, бывают встречены пользователями благожелательно. Кое-кто с особо параноидальным настроением может иметь мнение, что вот, мол, MS переступила границы дозволенного и сама стала использовать хакерские приёмчики. Ну, что тут сказать... сколько людей, столько и мнений.
Впрочем, к этому надо добавить, что и на WXP можно долго и безопасно существовать, и даже без применения крутых антивирусов и файрволов, а только за счёт правильного "модуса операнди": не лазить в даркнет, не открывать без тщательной проверки присланные по каналам связи файлы и т.д. Т.е. надо всё время быть настороже. Не хотите? Ну тогда имеет смысл переходить на W10 - она будет постоянно настороже вместо вас.
