Meinst Du da nicht eher das Java-Browser-Plugin? Im Browser ein Framework anzubinden, mit dem man beliebigen Code ausführen und auch auf das Dateisystem und die Programme des Systems zugreifen kann, war noch nie eine gute Idee. Glücklicherweise ist das Thema ja so ziemlich erledigt. Damit hat ein lokal installiertes JRE aber erstmal nichts zu tun. Lücken, die zur Kompromittierung eines Client-Systems mit installiertem JRE geeignet sind (das selbst nicht direkt Java-Dienste im Internet bereitstellt oder per Browser-Plugin kompromittiert werden kann), sind jetzt nicht wirklich häufiger anzutreffen als bei anderen Frameworks. Selbst bei der recht delikaten Log4j-Schwachstelle hätte man es ja erstmal schaffen müssen, das Logging einer lokal installierten Anwendung irgendwie zu beeinflussen - schwierig, wenn diese Anwendung nicht mit der Außenwelt kommuniziert, bzw. nur so, dass man diese Kommunikation nicht ohne Weiteres beeinflussen oder verändern kann. Aber genau das geht im Normalfall nicht einfach so von außerhalb, also braucht man schon mal ein zusätzliches Einfallstor. Wenn es sich natürlich beispielsweise um eine Java-basierte Chatanwendung handelt, über die Nutzer miteinander kommunizieren und man weiß, wie man einen Log-Eintrag provozieren kann, sieht das schon anders aus.
Das JDK wird aber auch in vielen Unternehmenssoftwares eingesetzt, ist Bestandteil vieler Web- und Cloud-Stacks und generell aus dem Internet praktisch nicht wegzudenken. Klar wird das ständig angegriffen und es wird auch immer wieder Lücken geben (schon allein auf Grund der schieren Größe des Ökosystems), aber generell würde ich nicht sagen, dass Java per se unsicher ist.
^Nur meine Sicht dazu! Ich will Dich nicht zu Java bekehren, ich mag es ja selbst nicht (aber aus anderen, technischen Gründen).
