例えば、2014年のshellshockって脆弱性があったんだけど、ほとんどバックドアに近いバグだったわけ。
これをOSSだから気がついたんだ安全だなと取るか、2014年までCGIサーバーがほとんどノーガードだったと取るかの違い。
当然、報告しないけど気がついてる人は居たと思うよ。