Un pacchetto downstream è una versione del software preparata da un distributore, un provider di hosting o un altro fornitore a partire da un progetto upstream. Potrebbe essere rilasciata dopo la versione upstream e il suo numero di versione potrebbe non corrispondere all’ultima release upstream. I fornitori possono anche applicare retroattivamente correzioni di sicurezza a versioni precedenti, quindi i soli numeri di versione non indicano sempre se un pacchetto è aggiornato con le patch.
Questo aspetto è importante durante gli aggiornamenti di sicurezza, perché le organizzazioni potrebbero dipendere da un fornitore per ricevere correzioni per software che non installano direttamente. Per un ambiente di esecuzione vulnerabile come PHP, chi si occupa della difesa dovrebbe identificare chi fornisce ciascuna versione e consultare gli avvisi di sicurezza o lo stato del pacchetto pubblicati da quel fornitore. Occorre verificare che l’ambiente di esecuzione effettivamente usato per gestire le richieste sia aggiornato con le correzioni; aggiornare un’applicazione o visualizzare una stringa di versione meno recente non è sufficiente per determinarne lo stato di sicurezza.