Mooi is dat..... 
Lekker makkelijk voor iemand die Ubuntu-machines wil aanvallen: kijk gewoon, welke veiligheidsgaten er in de JRE-versie zitten die bij de stabiele Ubuntuversie wordt aangeboden, en ga je gang: 90 % van de Ubuntugebruikers is immers kwetsbaar.
Waar haal jij dat getal vandaan? Ik denk dat 90% zwaar overdreven is.
1: Servers hebben geen Java geïnstalleerd en als ze dat al hebben is dat afgeschermd.
2: Veel desktopgebruikers zullen OpenJDK gebruiken, zij zijn niet kwetsbaar.
3: Van de mensen die Sun Java gebruiken, zullen er een aantal zijn die handmatig de bestanden van Sun zelf installeren. Buiten de officiële repo's om dus.
Kijk bijvoorbeeld weer naar de popcon statistieken: 1,2 miljoen gebruikers hebben de standaard systeempakketten geïnstalleerd. En 550.000 een versie van Sun Java. Dan zit je al onder de 50%. Overigens hebben 250.000 mensen OpenJDK.
Dus in plaats van "bijna alle gebruikers kwetsbaar" is het "minder dan de helft mogelijk kwetsbaar".
Dat neemt niet weg dat het nog steeds een vervelende kwestie is...
Ik beschik zelf niet over voldoende kennis voor pakketonderhoud zoals Strandboge dat beschrijft; ik ben "maar" een ervaren eindgebruiker, meer niet. Pakketonderhoud gaat me ver boven de pet. Daar begin ik dus niet aan.
Hier hetzelfde. Ik heb wel eens het één en ander gelezen over het maken van kleine aanpassingen in bestaande pakketten en hoe je die "zoals het hoort" kan bouwen. Dit werkte op mijn eigen systeem best goed. Maar het beheer van een pakket voor honderdduizenden andere gebruikers zie ik toch echt niet zitten
Overigens vind ik Strandboge's argument dat het pakket eerst uitgebreid uitgeprobeerd moet worden en aangepast bij regressies, een rijkelijk algemeen verhaal. In zijn algemeenheid klopt dat natuurlijk, maar ik vermoed dat dit bij Sun Java JRE niet nodig is. De pakketleverancier (Sun) is een professionele partij, die goed beproefde producten op de markt brengt. Ik heb nog nooit gehoord, dat een handmatig geïnstalleerde JRE zoals die wordt aangeboden voor Linux op de webstek van Sun, problemen gaf na installatie.
Ben je het debacle met de X updates in Dapper vergeten? Dat zou ook een simpele update zijn...
Of het "foutje" met de SSH keys... SSH zou één van de veiligste pakketten moeten zijn.
Zomaar vertrouwen op Sun lijkt me dan ook geen goed idee, tenzij zij ook de .deb pakketten gaan bouwen. Dan kan je namelijk bij Sun aankloppen als het mis gaat.
Een gebruiker die een installatie van Sun omzet naar een .deb pakket moet ook van goeden huize komen. Er zijn echt heel veel gebruikers afhankelijk van zijn werk.
Tja, dat betekent dus: terugvallen op handmatig. En steeds het nieuws in de gaten houden, of er een nieuwe JRE-versie is. Wat JRE-updates betreft is het in Windows toch beter geregeld; daar krijg je tenminste een melding. 
Ik gebruik OpenJDK, en dat werkt in de praktijk in 90% van de gevallen prima. Eigenlijk gebruik ik het zo weinig, dat ik niet eens weet wat er precies werkt en wat niet.
De Sun Java heb ik ook geïnstalleerd, om er eens mee te prutsen in het geval dat dat nodig mocht zijn. Maar de standaardversie die bij mij gebruikt wordt is toch echt OpenJDK.
Vanuit persoonlijke ervaring kan ik dus wel vrij makkelijk zeggen dat iedereen maar over moet stappen op OpenJDK, maar mijn ervaring is behoorlijk beperkt. Als er 2x zoveel gebruikers zijn van Sun Java, dan van OpenJDK dan is het wel duidelijk welke er beter werkt.
