Windows-gebruikers die over de meest recente Java-versie beschikken kunnen toch nog met malware besmet raken omdat ze een oude versie zijn vergeten weg te halen. Het probleem wordt veroorzaakt doordat Oracle's Java (JRE) wordt geüpdatet door het installeren van een nieuwe versie, in plaats van het installeren van een patch, waarschuwt beveiligingsbedrijf nCircle. In tegenstelling tot de nieuwste Java-versies, bleven bij vorige installatieprogramma's de oudere en overbodige versies gewoon op het systeem staan.

Op dit moment zijn Oracle JRE 6 update 29 en Oracle JRE 7 update 1 de nieuwste versies. Voor JRE 6 update 10, negeerde een standaard installatie de vorige installaties. Bij nieuwere versies wordt de vorige installatie wel verwijderd, ervan uitgaande dat het om JRE 6 update 10 of nieuwer gaat. Er is echter een uitzondering als er een oudere Java versie wordt geïnstalleerd dan er al op het systeem staat. Die versie wordt naast de bestaande versie geïnstalleerd en blijft daar zelfs na toekomstige updates gewoon staan.

"Gezien Oracle JRE vaak voor beveiligingsredenen wordt geüpdatet, is de aanwezigheid van oudere JRE-versies op een systeem reden tot zorg", zegt Eric Hoffman van nCircle. Aanvallers zouden nog steeds deze oudere versies met beveiligingslekken kunnen misbruiken, ook al is de nieuwste versie op het systeem geïnstalleerd.