ReactOS a pas mal de code en commun avec Wine, et ce dernier est quand même assez largement utilisé. Pour le reste, tu n'as pas tort, mais entre un OS obscur et un OS obsolète avec plein de failles connues et activement exploitées, il y a des chances que le premier s'en sorte mieux en pratique (je parle des attaques non ciblées uniquement).

Après, tout ça est assez théorique : je ne pense pas que ReactOS en soit arrivé à un niveau de fiabilité suffisant pour que quelqu'un l'utilise en production.