2026年3月6日最終改定
当社の脆弱性開示ポリシーには、以下の2つの目標があります。
- 報告された問題に対処するための妥当な期間をベンダーに確保すること。
- セキュリティコミュニティおよび影響を受けるユーザーに対し、誠実かつ有益で、具体的な対策につながる脆弱性の詳細情報を提供すること。
当社は、「協調的開示（coordinated disclosure）」を実践することで、これらの目標を達成できると考えています。当社の協調的開示プロセスの手順は以下の通りです。
- VulnCheckは、影響を受けるベンダーに脆弱性の詳細を連絡し、問題の修正またはアドバイザリ（注意喚起情報）の公開を行うための「120日間の期限」を設けます。
- VulnCheckは、公式パッチの開発中に顧客が防御策を講じられるよう、脆弱性の詳細情報を顧客に提供する場合があります。
- VulnCheckはベンダーと定期的に連絡を取り合い、協調的なアドバイザリを公開する日程を調整します。
- ベンダーがパッチまたはアドバイザリを公開した同日に、VulnCheckも第三者としての脆弱性アドバイザリを公開します。
- ベンダーによるパッチやアドバイザリの公開がないまま「120日間の期限」が経過した場合、VulnCheckはベンダーとの協調によらない第三者としての脆弱性アドバイザリを公開します。
当社のプロセスには、いくつかの軽微な注意事項があります。
- 期限の延長は認められません。
- VulnCheckは、公開されたパッチを「公開開示（public disclosure）」とみなします。
- コミュニケーションは電子メールのみで行われます。
- VulnCheckは、公開開示を禁止したり、VulnCheckの活動を何らかの形で制御しようとしたりする脆弱性開示プログラムには参加しません。
- ベンダーが、報告された脆弱性について修正やアドバイザリの発行を行う意図がないと表明した場合、協調的開示のスケジュールは適用されなくなる可能性があります。
また、当社のプロセスには重要な注意事項が1つあります。
- VulnCheckが、その脆弱性が実際に悪用されている（in the wild）と判断した場合、期限は120日から「7日」に変更されます。これは、攻撃者の優位性を排除し、防御側が状況を確実に認識できるようにすることを目的としています。
VulnCheckは、必要に応じて、上記プロセスから逸脱したり、プロセスを変更したりする権利を留保します。