Al parecer Rubén lo encontró bastante antes (fuente: twitter de Rubén), pero al publicar Tavis Ormandy gran parte del 0day, no le quedó otra que echar el resto (0day++)

Aún así parece que estos dos no fueron los únicos researchers en encontrar el flag, hay más, esto sin contar los que lo hayan usado o estén usando "in the wild"...

Source: http://blog.cr0.org/2010/04/javacalypse.html

Mi opinión:

El mejor patch por el momento (Unix/Win OS): Desinstalar Java y fuera problemas xDD
Bueno si lo necesitas para trabajar o algo lo mejor es que por el momento uses una máquina virtual y corras Java dentro. Por lo menos mientras Java continúe Owned.

Por cierto parece que nadie hizo alusión a los advisories/PoCs (al de Rubén sí pero al otro no, el de Tavis Ormandy):

http://www.exploit-db.com/exploits/12122
http://www.exploit-db.com/exploits/12117