Bugfixing ja, aber nach Prioritäten sortiert. Offenbar ist ein mit Root-Rechten laufender, hijackbarer Webserver im Vergleich zu all den anderen Bugs kein so wichtiger, dass man sich mit ihm innerhalb von 18 Monaten meinte beschäftigen zu müssen.
(Mal vorausgesetzt der geschilderte Bugreport war seriös und bestand aus mehr als nur dem ersten Bugreport innerhalb der genannten 18 Monate. Und hatte weder "Penis" und "Enlargement" im Betreff, noch irgendwelche Schilderungen über Nigerianische Prinzen und deren Geldanlageprobleme).
Natürlich kann es auch sein, dass denen Bugreports lästig sind und sie lieber faul Rechnungen schreiben, statt ihre Produkte zu fixen.