Bug (arıza), kullanıcının uygulamayı sunduğu özellikler doğrultusunda çeşitli kusurları nedeniyle kullanamamasına / faydalanamamasına yol açar.

Güvenlik zafiyeti (açıklık), kullanıcının ve/veya sunucunun uygulamayı sunduğu özellikler doğrultusunda normal manada kullanabilmesi veya kullanamaması fark etmeksizin zararlı aktivitelerde bulunanların amaçlarına ulaşabilmesine yol açar.

“Bug teşkil etmez, ama güvenlik zafiyeti teşkil eder”,
“Bug teşkil eder, ama güvenlik zafiyeti teşkil etmez”,
“Bug teşkil eder, aynı zamanda güvenlik zafiyeti teşkil eder”,
“Bug teşkil etmez, aynı zamanda güvenlik zafiyeti teşkil etmez”.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Web uygulamasındaki xss zafiyetinin varlığı arıza teşkil etmez ve uygulamanın çalışma dinamiğini bozmaz. Bir bug (yanlış / hatalı / bozuk kodlama) değildir. Ama bu güvenlik zafiyeti istismar edildiğinde her güvenlik zafiyeti istismar edildiğinde olduğu gibi uygulama ve/veya kullanıcı zarar görür.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Web uygulamasındaki file inclusion zafiyetinin varlığı arıza teşkil etmez ve uygulamanın çalışma dinamiğini bozmaz. Bir bug (yanlış / hatalı / bozuk kodlama) değildir. Ama bu güvenlik zafiyeti istismar edildiğinde her güvenlik zafiyeti istismar edildiğinde olduğu gibi uygulama ve/veya kullanıcı zarar görür.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Web uygulamasındaki file upload zafiyetinin varlığı arıza teşkil etmez ve uygulamanın çalışma dinamiğini bozmaz. Bir bug (yanlış / hatalı / bozuk kodlama) değildir. Ama bu güvenlik zafiyeti istismar edildiğinde her güvenlik zafiyeti istismar edildiğinde olduğu gibi uygulama ve/veya kullanıcı zarar görür.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Web uygulamasındaki command execution zafiyetinin varlığı arıza teşkil etmez ve uygulamanın çalışma dinamiğini bozmaz. Bir bug (yanlış / hatalı / bozuk kodlama) değildir. Ama bu güvenlik zafiyeti istismar edildiğinde her güvenlik zafiyeti istismar edildiğinde olduğu gibi uygulama ve/veya kullanıcı zarar görür.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Web uygulamasındaki sqli zafiyetinin varlığı arıza teşkil etmez ve uygulamanın çalışma dinamiğini bozmaz. Bir bug (yanlış / hatalı / bozuk kodlama) değildir. Ama bu güvenlik zafiyeti istismar edildiğinde her güvenlik zafiyeti istismar edildiğinde olduğu gibi uygulama ve/veya kullanıcı zarar görür.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Apache web sunucu yazılımının paralel programlama metoduyla olan programlaması dolayısıyla (paralel programlama kodlamasının zorluğu (karmaşıklığı) nedeniyle) yaşanan teknik zorluklar sonucunda çok kullanıcıya aynı anda sunduğu hizmetteki thread yönetimi servisi çözümlenemeyen bir açığa sahiptir. Bu apache sunucularda dünden bugüne devam eden kronik bir açıklıktır. Bu zafiyet uygulama ve sunduğu hizmetlerin normal kullanımda işleyişini etkilememektedir. Dolayısıyla bir arıza (//bug) değildir. Fakat suistimal edildiğinde apache sunucunun cevap veremez hale gelmesine ve servis dışı kalmasına neden olur.

// Bug teşkil etmez. Ama güvenlik zafiyeti doğurur.

- Windows sistemlerde yerel ağ içerisinde dosya paylaşımını sağlayan sistem kütüphanesi (.dll) içerisindeki dizin yolu genelleştirme kodunda yer alan parsing metodu normal işleyişte sorun teşkil etmediğinden bug değildir, fakat suistimal edildiğinde üzerinden zararlı aktiviteler yapılabildiğinden bir güvenlik açığıdır.

// Bug teşkil eder. Ama güvenlik zafiyeti doğurmaz.

- Genellikle her programlama dilinde syntax gereği yapılan / yapılabilen yaygın kodlama hataları (bug’ları) mevcuttur. Örneğin Java dilinde yapılan yaygın hatalardan biri + operatörünün java’da iki amaç için kullanılabiliyor olmasında yatar. Birisi matematiksel açıdan, diğeri concatenation (birleştirme) açısından kullanıldığından kullanımı karıştırılabilmektedir. Örneğin 5 değerini tutan y değişkeni ile 2 değerini matematiksel olarak toplayıp ekrana basmak istersek aşağıdaki kullanım hatalı bir kullanım olur,

Java:

y = 5;

System.out.println("y + 2 = " + y + 2);	    // y + 2 = 52

ve milyonlarca satırlık yazılım içerisinde bir bug olarak yer ederek yazılımın hatalı çalışmasına neden olabilir. Matematiksel olarak kullanılacaksa şöyle kullanılması gerekecekti:

Java: (doğrusu)

y = 5;
	
System.out.println("y + 2 = " + (y + 2));	// y + 2 = 7

// Bug teşkil eder. Ama güvenlik zafiyeti doğurmaz.

- Örneğin; eposta textbox’ına konulan karakter seti kuralı dolayısıyla @ sembolünün koyulamaması

// Bug teşkil eder. Ama güvenlik zafiyeti doğurmaz.

- “Yazı Sil” butonuna basılmasına rağmen uygulamanın istenilen tepkiyi vermemesi

// Bug teşkil eder. Aynı zamanda güvenlik zafiyeti doğurur.

- Alışveriş sitesindeki thread safety bug’ı dolayısıyla eşzamanlılığın iyi çalışmaması durumunda doğabilecek müşterilerin aldığı ürünlerin farklı farklı fiyatlarda faturalandırılması (örn; çok daha pahalıya alınması) veya bug’ın varlığını fark eden kötü niyetli kişilerce vurgun yapmak bağlamında eşzamanlılık problemini exploit ederek bir çok müşteri profilinden düzinelerce ürünü çok ucuza kasıtlı olarak almak. Sonuç olarak thread safety iyi kodlanmadığı takdirde bir bug’tır, çünkü uygulama işleyişini bozmaktadır. Mağduriyetler doğurabilmektedir. Fakat aynı zamanda kötü niyetli kişilerce istismar edildiğinde bir güvenlik zafiyeti teşkil eder. Çünkü uygulama işletmecisinin kasasındaki parası gider.

// Bug teşkil etmez. Güvenlik zafiyeti teşkil etmez.

- NULL. Yani ne bug ne de zafiyet var demektir. Yani uygulama kusursuzdur.