¿Hay algún servidor con cero vulnerabilidad?

No, actualmente no. Hay un campo de estudio llamado “sistema operativo demostrablemente seguro” que propone una forma hipotética de crear dicho sistema (utiliza pruebas matemáticas formales para demostrar que todas las entradas posibles se manejan correctamente) pero el costo y la complejidad de desarrollar dicho sistema son prohibitivos . Un PSOS también sería muy, muy inflexible: no podría agregarle ningún software o invalidaría cualquier garantía de seguridad.

Dicho esto, hay algunos sistemas operativos que se someten a mucho más escrutinio de seguridad de lo que es típico: OpenBSD es un buen ejemplo. El equipo que desarrolla OpenBSD revisa proactivamente toda la base de código (para el sistema operativo central y muchas bibliotecas centrales, al menos) con frecuencia, lo que ha llevado a solo dos agujeros remotos en la última década más o menos. Por supuesto, esto significa que OpenBSD tiene algo menos de funcionalidad que otros sistemas operativos, y tan pronto como comience a agregar software, reducirá un poco la seguridad, pero podría decirse que es mucho más seguro que cualquier otra cosa. Si intentara construir un servicio muy seguro y ponerlo a disposición del público, comenzaría con OpenBSD como base.

¿Cero? No, no hay sistemas operativos de servidor disponibles comercialmente con cero vulnerabilidades, solo los que aún no se han encontrado. Si bien es teóricamente posible escribir código del sistema operativo que esté libre de defectos, no es pragmático hacerlo particularmente, ya que solo se podría hacer a un costo que muy pocos estarían dispuestos a pagar.