多くの手を加えた場合、スクラッチ開発と同じく考えるのが妥当かと思います。

EC-CUBE に対しては、バージョンアップと言うよりは、脆弱性を含む不具合情報の収集と対策を考えることになるのではないでしょうか。

現在でも、2.3 系で運用しているサイトは多数ありますし、1.x 系も稀に見かけますね。

----------------
Seasoft
こちらでの投稿は、アイディア程度に留めさせていただいております。
個別案件の作業は有償で承っております。お気軽にご相談ください。