Badania przeprowadzone przez Oren Yomtova z Terra Security wykazują niepokojący trend: poprawki bezpieczeństwa coraz częściej nie rozwiązują problemu w całości. Zamiast usuwać przyczynę podatności, deweloperzy często stosują jedynie doraźne obejścia, które hakerzy szybko znajdują i omijają. Zjawisko to nasiliło się szczególnie w projektach open-source na platformie GitHub.
Analiza wskazuje, że najczęściej zawodzą mechanizmy oparte na czarnych listach (blocklists), stosowane np. w przypadku podatności typu SSRF czy prototype pollution. Gdy poprawka blokuje tylko konkretny format danych, a nie eliminuje błędu w logice, napastnik może użyć alternatywnej formy zapisu, aby przejść przez zabezpieczenie. Przykładem jest Roundcube, gdzie naprawa błędu SSRF wymagała aż trzech kolejnych aktualizacji.
Problem dotyczy również luk aktywnie wykorzystywanych w atakach, takich jak te w Windows Shell. Poprawki dla błędów z katalogu CISA są o ok. 400% częściej raportowane jako wadliwe, ponieważ przyciągają one uwagę badaczy i grup APT, którzy natychmiast szukają sposobów na obejście zabezpieczeń. Takie sytuacje tworzą niebezpieczny cykl, w którym każda kolejna łata zdradza napastnikom strukturę kodu i sposób myślenia obrońców.
Eksperci zalecają deweloperom stosowanie metody diff-huntingu własnych poprawek przed ich publikacją, aby upewnić się, że uderzają one w źródło problemu. Organizacje natomiast powinny zachować czujność nawet po zainstalowaniu aktualizacji, zakładając, że łata dla aktywnie eksploatowanej luki może być niepełna.
