Het is voor beveiligingsonderzoekers bijna niet meer te doen om exploits te ontwikkelen die lekken in Windows misbruiken, zegt Dave Aitel van beveiligingsbedrijf Immunity. Immunity ontwikkelde een exploit voor een nog altijd ongepatchte SMB2-kwetsbaarheid in Vista, waarmee aanvallers op afstand en zonder enige interactie van de gebruiker het systeem volledig kunnen overnemen. In totaal waren vier onderzoekers van het bedrijf er ruim een week mee bezig en dat is snel. Gemiddeld kost het drie personen een volle maand om een exploit te ontwikkelen. 'Dat is veel tijd, of in andere woorden, veel geld", aldus Aitel.

Toch vindt hij het ontwikkelen van exploits nog steeds de moeite waard. "Zonder exploits weet je niet wat belangrijk is, of realistischer, wat niet belangrijk is." In het geval van het SMB2-lek blijkt dat 64-bit computers immuun zijn. "Aangezien alle bedrijven Vista hebben overgeslagen en 64-bit voor hun Windows 2008 servers gebruiken, is SMB2 niet zo erg als je zou verwachten." Het is dan ook helemaal geen voordeel dat het ontwikkelen van exploits zo'n kostbare aangelegenheid is geworden.

Exploit
Volgens beveiligingsexpert Dan Geer is een ander nadeel dat steeds meer grote beveiligingslekken niet gemeld zullen worden, aangezien de kans dat onderzoekers iets weggeven omgekeerd evenredig is aan de kosten die er nodig waren om het te verkrijgen. Aitel vraagt zich echter af wat een "publieke" exploit is. Het CANVAS framework waarin de werkende SMB2 exploit in zit, kost minder dan 4000 dollar.

"Als een werkende exploit in de handen van tienduizenden mensen is die er om geven, moet dat dan niet als publiek worden beschouwd?" Hij noemt het vreemd dat alle nieuwsartikelen erover gaan of de exploit via het internet te downloaden is, terwijl alle mensen die er iets mee kunnen hem al hebben.