メンテナンスされていないソフトウェアにはパッチを当てることができません。

CVEの64.5%はNVDによって評価されていません。そのうち46%は、Sonatypeによる審査の結果、「High」または「Critical」と判定されています。お使いのスキャナーが示す「問題なし」という結果は、不完全なデータに基づいているのです。

2025年には、わずか4つのJavaコンポーネントだけで、回避可能な脆弱性を含むダウンロードが約18億件に上ると見込まれています。一度バージョンが固定されると、それが何年も使い続けられ、プロジェクトがまだ存続しているかどうかを確認する者は誰もいません。

既知のCVEが存在する81,000以上のパッケージバージョンは、サポート終了（EOL）かつ修正不可能な状態にあります。HeroDevsの推計によると、すべてのレジストリを合わせると、この数は実際には40万以上に上るとされています。これらを修正してくれる者は誰もいません。

2025年には、パッチが公開されてから3年が経過したにもかかわらず、4,200万件もの脆弱性を含むLog4jがダウンロードされる見込みだ。有名な脆弱性は、もはや使われなくなったソフトウェアに恒久的に残ってしまう。負債はいつかは必ず返済の時が来るものだ。