Kaikille oli varmaankin myös selvää se, että jos tänään tehdään softa jossa ei ole yhtään tunnettua haavoittuvuutta, se ei tarkoita sitä, etteikö siinä voisi ensi viikolla olla vakava nollapäivähaavoittuvuus. Olemassaolevista softakomponenteista löytyy koko ajan uusia haavoittuvuuksia, jonka vuoksi koko ajan pitäisi tehdä päivityksiä, käyttöjärjestelmiin, niihin asennettuihin kolmannen osapuolen ohjelmistoihin, samaten kuin omien softien kolmannen osapuolen kirjastot.
Hyvin harvoin mitään softaa tehdään kokonaan ns. 'pitkästä tavarasta', eli kokonaan omin voimin. Kolmannen osapuolen NPM, nuget, JAR jne. paketeissa taas on sellainen ongelma, että kaikki tietävät mitä julkistettuja haavoittuvuuksia ko. paketit mahdollisesti sisältävät. Varsinkin jos niitä ei pidetä ajan tasalla. Itse tehdyt taas tuskin ovat parempia, niiden haavoittuvuudet vain eivät ole yleisessä tiedossa. Pointtina on kuitenkin se, että haavoittuvuudet ovat julkista tietoa, eli myös tiedetään mitä kannattaa koputella.
Varsin ikäväksi tilanne menee siinä kohtaa, kun joku vähän vanhempi softa pitäisi laittaa julkiverkkoon. Korjauksia saattaa hyvinkin olla saatavilla, mutta ei juuri siihen ympäristön versioon mikä on käytössä, ja päivitys taas olisi liian iso työ.
Otetaan nyt vaikkapa sellainen kuvitteellinen esimerkki, että kyseessä on laaja Spring Boot 1.x:lle toteutettu softa, jossa käytössä jokin vapaan lähdekoodin kirjasto. Kirjastossa on kriittinen haavoittuvuus ja siihen on julkaistu korjaus. Ikävä kyllä korjaus vaatii vähintään Spring Boot 2.x version, johon päivittäminen taas olisi merkittävän suuritöinen.
Esimerkiksi snyk-skannerin ajaminen melkein mille tahansa softalle on melko masentavaa... Toki aika harva raportoitu haavoittuvuus on oikeasti aktiivinen haavoittuvuus, monen olosuhteen pitää osua nappiin että reikä on sellainen josta pääsee livahtamaan sisään.
