надо учитывать еще что микрософт, гугл и опера могут не сообщить и не сообщают если надо о своих уязвимостях, а так же что
если в фф находят 100 уязвимостей то через 2 дня 50 из них закроют, а если в ИЕ найдут 10 то 5 из них закроют в лучшем случае через месяц-два