Offenbar arbeiten die glibc-Entwickler bereits seit Juli 2015 an dem Problem; erst jetzt stehen Updates bereits, die es schließen. Wie auch bei der GHOST-Lücke, die die verwandte Systemfunktion gethostbyname() betraf, war den Entwicklern anscheinend die Relevanz und Dringlichkeit des Problems längere Zeit nicht so recht bewusst.