Als het gaat om beveiligingslekken wordt meestal meteen geroepen dat de software ontwikkelaar ze zo snel mogelijk moet patchen, maar volgens sommige vendors is dit niet het geval en kun je bepaalde lekken beter laten zitten. "Ons bedrijf geeft veel geld uit aan het oplossen van beveiligingsproblemen. We trainen onze progammeurs in veilig programmeren en volgen de hiervoor geldende richtlijnen. Vinden we een ernstig lek, dan wordt die meteen gedicht. Gaat het om een medium of minder ernstige kwetsbaarheid, dan laten we die zitten totdat iemand anders die opmerkt. We zullen deze lekken nog steeds onderzoeken, maar niet patchen," zo laat een anonieme vendor weten. Het bedrijf heeft hiervoor vijf redenen:

1. We richten onze middelen liever op ernstige lekken, bekend of onbekend. Elk minder ernstig lek vertraagt het hele proces. Daarnaast hebben we geen onbeperkt budget.

2. We geven de hoogste prioriteit aan publiek bekende lekken. We worden namelijk alleen beoordeeld op de lekken die bekend zijn en hoe snel we die dichten. Niemand ziet echter de intern opgeloste beveiligingslekken.

3. Aanvullende lekken die externe hackers vinden zijn meestal het resultaat van het onderzoeken van onze patches. Als we de originele exploits ongepatcht hadden gelaten, waren in ons geval drie publieke exploits nooit verschenen.

4. Elk onthuld en gepatcht beveiligingslek zorgt ervoor dat hackers nog beter hun best doen om nieuwe lekken te vinden en die sneller te misbruiken. Het is net een wapenwedloop.

5. Als een lek niet wordt bekendgemaakt, zullen de meeste hackers het niet misbruiken.