Na jarenlange kritiek heeft Sun Microsystems eindelijk het patchbeleid van Java gewijzigd, oude versies worden voortaan automatisch verwijderd. In het verleden was het voor kwaadaardige websites mogelijk om via een oudere versie het systeem te infecteren, ook al had de gebruiker de laatste versie geïnstalleerd.

Om dit probleem te verhelpen kwam Sun met een nieuw beveiligingsmodel dat moest voorkomen dat kwaadaardige websites de oude versies konden aanroepen. In juli ontdekte beveiligingsonderzoeker John Heasman een manier om het model te omzeilen en de browser een oudere Java-versie te laten gebruiken, ook al was er een nieuwere versie aanwezig. JRE6 Update 10 verhelpt geen beveiligingslekken, maar kan zichzelf wel verwijderen mocht er een nieuwe versie verschijnen.