Efectivamente, la trampa esta en que las vulnerabilidades de windows, son eso, unicamente de windows, mientras que las vulnerabilidades de linux, son de linux, unix, unix-like, y los programas que en estos se utilizan.
Ese informe lo suelen presentar en conferencias de Microsoft, dandoselas de importantes...Hasta que llega alguien, les dice como esta hecho el informe, y se ofrecen a buscar vulnerabilidades de los programas que usa microsoft, como por ejemplo el IIS, para comparar con apache, por ejemplo (obviamente, esto esta estudiado, y sale el balance a su favor)
En definitiva, el estudio esta amañado en cierto sentido
Salu2