Meddig lehet egy hack-et "titokban" tartani, hogy ne patcheljék a sebezhetőséget a fejlesztők?

> Lehetnek olyan hacker csoportok által fejlesztett titkos exploitok, amiket pl. 2018 óta használnak, mert olyan sebezhetőségen alapszik, amiről nem tudnak az adott cégnél?

Ez szinte biztos. Időről-időre felröppennek olyan hírek, hogy évtizednyi idő óta létező sebezhetőséget találtak itt vagy ott. Ebből lehetnek olyanok, amiket egy hacker csoport, vagy akár valamilyen nemzetbiztonság már rég megtalált, és aktívan ki is használja. Persze ehhez ésszel, lehetőleg célzottan kell használni, hogy ne tűnjön fel másnak.

> Vagy előbb-utóbb minden sebezhetőségre fény derül a nyílt forráskód miatt

Már amelyik rendszer nyílt forráskódú. Amúgy a nyílt forráskód sem garantálja önmagában a kevesebb hibát. Mert lehet, hogy elvileg bárki megnézheti a forráskódot, de abba mélységében csak kevesen néznek bele, ők sem feltétlenül biztonsági szempontból vizsgálják a kódot. Sőt lehet, hogy zárt forráskód esetén sokkal több deklarált figyelmet fordítanak a biztonságra, mint egy nyílt forráskódú projektnél.

#2 > De ezek jórésze nem is célpontja már hackereknek, mert kevesen használják, így például nyugodtan lehet netezni egy XP-s géppel Flash Playerrel megküldve

Azért ez így túlzás. Nyilván az asztali gépeknél jóval kisebb az XP-k aránya. De egy raklap célszámítógép futtat XP-t, akár Flash Playerrel, internetre csatlakozva. Mondjuk egy utasinformációs kijelző mögötti számítógép, aminek a frissítgetésével a kutya sem törődik. Vagy mondjuk egy iskolai interaktív tábla, amit x éve vettek, és rendszergazdák helyett Pista bácsik telepítik újra az XP-t, mert azt szokták meg. És ezek a gépek a statisztikák radarjai alatt is maradnak, mert nyilván egy utasinformációs kijelzőt kiszolgáló gépről nem fog senki böngészgetni. Lehet, hogy arányaiban nem sok ilyen gép van – de azért még így is sok milliós nagyságrendű gépről van szó – cserébe viszont ezek garantáltan patcheletlenek. Zero-click exploitoknak továbbra is remek célpontjai, jók lesznek ezek is bitcoint bányászni, SPAM-elni, vagy célzottan egy DDoS támadást indítani. Ha meg asztali gépen netezel XP-vel, akkor nagyon könnyen lehet, hogy már rég te is egy alvó botnet hálózat része vagy.

ha apránként csapolod meg a milliárdosok bankszámláit akkor nem feltűnő és sokáig titok lehet.

míg egyetlen nagy összeg levétele hamarabb feltűnik.