谷歌 Project Zero 宣布将分阶段把漏洞披露期限从 90 天缩短至 30 天

IT之家 11 月 15 日消息，自 2021 年以来，谷歌漏洞挖掘计划 Project Zero 一直奉行“90 + 30”漏洞披露政策，即允许厂商在最多 90 天内修复漏洞，并额外提供 30 天的“缓冲期”用于补丁推送。

当地时间 11 月 13 日，谷歌宣布，随着人工智能辅助漏洞挖掘与利用技术的兴起，当前形势已发生根本性变化，现有披露政策所设定的修复周期已难以适应需求。

IT之家获悉，为推动厂商更快速地修复漏洞、促使厂商缩短“补丁空窗期”，谷歌发布了全新的漏洞披露政策，新政策规定，无论厂商是否完成修复，漏洞均在报告给厂商后的 X 天直接公开披露，并分阶段逐步收紧时间限制。

• 2026 年 11 月 13 日起，取消原 30 天补丁缓冲期，报告后 90 天公开

• 2027 年 2 月 2 日起，报告后 60 天公开

• 2028 年 1 月 3 日起，报告后 30 天公开

同时，谷歌将从披露政策中取消绝大多数“特殊情况”，新政策仅保留以下三项例外情况，触发这些情况时不会等待满 X 天才披露：

• 在野利用漏洞（ITW）：已被攻击者实际利用的漏洞，继续遵循谷歌应用程序安全漏洞披露政策

• 已公开漏洞：若漏洞细节已被他人提前公开，Project Zero 可酌情公开该漏洞的详细信息。

• 应厂商请求：若接收漏洞报告的厂商主动提出请求，谷歌将公开漏洞细节。