既知の脆弱性を探す系のセキュリティスキャナって、実際にexploit叩き込むんでしたっけ？叩き込まないで、応答内のバージョン番号とか、応答の形式でのある程度のバージョン推測とかで、バージョンから「個のバージョンはこういう脆弱性がありますよ」とか判定している場合は、脆弱性が残ったままセキュリティスキャナ的にはOKってなる？ちゃんと挙動とか知ってるわけではないのであれですけど、そうだとしたらもうちょっとややこしい話ですね。
expliot叩き込まないで、バージョン情報ない状態で脆弱性の有無を判定できたら、それはそれでその挙動をかくすべきになるし。
