Google: bedrijven hebben minder tijd om bugs te verhelpen

Samenvatting

Google verkort de bugtermijn stapsgewijs van 120 naar 30 dagen, omdat AI exploits en bugfixes versnelt.

Google en responsible disclosure: kortere bugtermijnen

Google past zijn responsible-disclosurebeleid aan voor bugs die Project Zero in diensten van andere bedrijven vindt. De huidige termijn van maximaal 120 dagen maakt stapsgewijs plaats voor 60 dagen vanaf 2 februari 2027 en 30 dagen vanaf 3 januari 2028.

Project Zero noemt AI en large language models als reden voor de verkorting. Volgens Google kunnen hackers sneller exploits maken op basis van openbaar gemaakte informatie. Tegelijkertijd neemt het aantal gevonden bugs toe en gebruiken bedrijven, waaronder Google, AI bij het maken van bugfixes.

Responsible disclosure en de kleinere patch gap

Responsible disclosure geeft softwaremakers een afgesproken periode om een bug te repareren voordat onderzoekers details publiceren. Google werkte met 90 dagen voor herstel en nog eens 30 dagen voor het uitrollen van een patch. Veel bedrijven, onderzoekers en platforms hanteren 90 dagen als uitgangspunt.

De nieuwe termijnen verkleinen de patch gap: de periode tussen het vinden van een bug en het beschikbaar komen van een patch. Google beperkt uitzonderingen voortaan tot zerodays, ook wanneer aanvallers die kwetsbaarheid niet actief misbruiken.

De directe reikwijdte blijft beperkt. Het beleid geldt alleen voor bugs die Google zelf vindt. Google noemt dat voor één bedrijf een aanzienlijk aantal, maar binnen de totale beveiligingsindustrie blijft het aandeel klein.

Google-beleid: controleer patchprocessen en deadlines

Softwareteams die diensten aan Google leveren, moeten hun herstel- en uitrolproces toetsen aan de nieuwe deadlines. Leg vast wie een melding ontvangt, hoe snel een patch klaarstaat en wanneer informatie intern wordt vrijgegeven.

Let vooral op de overgangsmomenten in 2027 en 2028. Een proces dat bij 90 of 120 dagen werkt, sluit daarna niet automatisch aan op een termijn van 30 dagen.