脆弱性検査といっても、ほとんどの場合はpenetration testするわけじゃないので、実際の脆弱性の有無はチェックしない。

根拠ってさ、OSベンダのErrataとか見たの？基本でしょ？