tomcatの脆弱性

ベンダから使ってるtomcatの脆弱性がみつかった。でも内部でしか使ってないから適用しないでいいですかって質問。
そんなの聞かれたら、いや対応してよって答えにしかならないけど。
内部でしか使ってないから安全なんて、15年くらいまえで終わってる概念ですね。
それにパッチ当てを先延ばしにしているとそのウチ痛い目にあうこと間違いなし。
いっこいっこの適用は簡単でも順番をすっ飛ばすとわりと大変なことになることが多い。
経験則ですが。