脆弱性公開ポリシーとCVD(Coordinated Vulnerability Disclosure)

　色々な脆弱性研究者・組織が「脆弱性を発見してからベンダーに連絡・一般公開するまで」のポリシーを決めています。また、CISAからは「CVD(Coordinated Vulnerability Disclosure)プログラム構築のための共同ガイド」が7/15に出されています。

　この記事では、いくつかの代表的な脆弱性研究・発見組織のポリシーをまとめています。

「未経験からでもホワイトハッカーになれる！」実践的セキュリティスクール「セキュ塾」

脅威インテリジェンス育成コース（受講生随時募集中）
ホワイトハッカー育成コース（偶数月に開講される！）

Zero Day Initiative
Google Project Zero
OffensAI
VulnCheck
OpenSSF
CISA CVD Guide
参考
- 関連記事:

Zero Day Initiative

　Zero Day Initiativeは2005年に設立された世界最大級の脆弱性発見コミュニティ・報奨金プログラム（バグバウンティ）です。セキュリティ研究者に金銭的な報酬を支払うことで、未公開の脆弱性を悪意ある者に先立って収集し、安全な修正対応を促す目的でTippingPointにより設立されました。現在はTrend Microによって運営されています。

　Zero Day Initiative(ZDI)の開示プロセスは以下のようになっています。

ZDIからベンダーに脆弱性に関する通知が送られます。
ベンダーからZDIに5営業日以内に連絡が来ない場合には、ZDIは2回目の連絡を試みます。
ベンダーへの連絡のためにあらゆる手段を尽くしても連絡が取れない場合、最初の連絡から15営業日後に情報を公開する場合があります。
ベンダーからの回答が上記の期間内に届いた場合、ZDIはベンダーに対し脆弱性に対処するための4か月（120日間）の猶予を与えます。ごく稀な場合、この120日間が延長される場合があります。

また、不完全または欠陥のあるセキュリティパッチに起因する脆弱性の開示については別の開示ルールが設けられます。

ベンダーは30日以内に新しい修正をリリースする必要があります。
攻撃が差し迫っていない重大な脆弱性ついては、ベンダーには60日間の猶予期間が与えられます。
差し迫った悪用が予想されないその他の深刻度の脆弱性に対しては90日間の猶予期間となります。

Google Project Zero

　GoogleのProject Zeroは2014年に設立されたGoogleのセキュリティ研究者チームで、世界中のユーザーが利用するハードウェアやソフトウェアシステムのゼロデイ脆弱性を研究しています。

　Project Zeroでは90+30の開示期限ポリシーを採用しています。これはセキュリティ脆弱性についてベンダーがProject Zeroから通知を受けてから90日以内にユーザーにパッチを提供する必要があることを意味しています。ベンダーが90日以内にパッチを提供した場合、Project Zeroはパッチがユーザーに提供されてから30日後に脆弱性の詳細を公表します。つまり、「Project Zeroが脆弱性をベンダーに通知し、ベンダーが受け取った」日にちを起点にします。例えば

ベンダーが脆弱性についてProject Zeroからの通知を受けてから47日後にセキュリティ上の問題を修正した場合、その詳細は77日目に公開される。
ベンダーが脆弱性についてProject Zeroからの通知を受けてから83日後にセキュリティ上の問題を修正した場合、その詳細は113日目に公開される。

となります。

　ベンダーが90日以内にパッチを提供できない場合でも、そこからさらに14日以内（つまり起点から104日以内）にパッチを提供できる場合、ベンダーが要請すればProject Zeroは猶予期間を設けることがあります。

　ベンダーが通知を受けてから90日以内に問題を修正できない場合には、Project Zeroはベンダーが通知を受けた起点日から90日後に脆弱性の詳細を公開します。

OffensAI

OffensAIはAWSのセキュリティエンジニアとクラウドセキュリティのリーダーたちが2023年に設立した会社で、AIを活用してセキュリティの脆弱性を自律的に検証・テストするプラットフォームを提供しています。

OffensAIの脆弱性開示ポリシーはGoogleと同じく90+30のルールで

影響を受けるベンダーに脆弱性に関する詳細な技術情報を添えて通知する。
ベンダーが修正プログラムを開発・リリースするまで、最初の通知日から90日間の猶予を与える。
90日間の期限が過ぎた後、パッチが利用可能かどうかに関わらず、脆弱性を公表する。
脆弱性の複雑さや関係ベンダーの多さなどが原因で、時間はかかっているがコミュニケーションをきちんと取れている場合、標準の90日間の期限に加えて、30日間の猶予期間を設ける場合がある。

となっています。

VulnCheck

　VulnCheckは脆弱性インテリジェンスを提供する会社です。VulnCheck KEVなどで知られていますが、脅威インテリジェンス提供の他にも、脆弱性を発見してCVE-IDをアサインするCNAとしても動いています。

　VulnCheckの脆弱性開示ルールは以下になります。

脆弱性の詳細を記載した上で、影響を受けるベンダーに連絡を取り120日間の期限を提示します。
ベンダーによるパッチまたはアドバイザリが120日間の期限内に提供されない場合、VulnCheckは脆弱性アドバイザリを公開します。
VulnCheckが脆弱性が実際に悪用されていると判断した場合、期限は120日から7日に変更されます。

OpenSSF

　OpenSSF（Open Source Security Foundation）とは、オープンソースソフトウェア（OSS）のセキュリティ向上と脆弱性対策を目的とした業界横断型の国際フォーラムです。

　OpenSSFでは公開までの期間を最大90日間とする「期限」を設けています。場合によっては7日以内にも前倒しされます。

脆弱性を発見した場合は、直ちにメンテナーに非公開で報告します（これが「通知日」になります）。
プロジェクトが21日以内に対応した場合、詳細は通知日から90日後の「公開日」に公開されます。
通知日から35日以内にメンテナーから期限内に脆弱性を修正する意思を示す回答がない場合、通知日から90日後に公開されます。
一般には知られていない未修正の脆弱性が現在悪用されている（「ゼロデイ」）場合、より緊急な対応が必要であると判断され、公開日が通知日から7日以内に前倒しされます。

CISA CVD Guide

　これらの歴史的経緯があり、CISAが2026/07/15に脆弱性開示についてCVD(Coordinated Vulnerability Disclosure) というガイドを出しました。これはセキュリティ研究者・団体が脆弱性を発見した際、情報を一般公開する前に開発者や企業に通知し、修正プログラムが準備されるまで協力して対応するプロセスを決めましょう、というものです。既にプロセスを決めている団体は元々持っているものを使用しますが、その他「開示プロセス」を決めていなかった団体も、これを受けて積極的に開示プロセスを決めるようになるはずです。