Ich habe Templates, die nur den Namen "template" im Namen haben, aber sonst eine normale VM sind. Sind speziell in einem Pool drin und gibt nur wenige mit Berechtigungen darauf. Die fahren wir dann ein paar mal im Jahr hoch und wenden die Updates an. Das Template-Feature von PVE ist für solche Dinge leider nicht zu gebrauchen, da es ja alles "einfriert". Ich verwende diese Art der Templates nur, wenn ich ein System habe, für das es keine offiziellen Updates mehr gibt und die man ggf. nochmal um etwas auszuprobieren benötigen könnte wie z.B. WinXP, alten Windows Server Versionen oder aber auch alte Linux-Varianten, die EOL sind.
Gleiche Problematik gibt es bei LXC ja auch, dort haben wir die entpackten Templates in einem ZFS liegen und können diese dort mittels chroot updaten und per Knopfdruck neue Templates erstellen, die wir dann in PVE direkt verwenden können. Das klappt auch ziemlich gut.