Google zal alle kwetsbaarheden die het in de eigen software en die van andere partijen vindt voortaan na 90 dagen openbaar maken, ongeacht wanneer er een beveiligingsupdate voor het probleem verschijnt. Dit moet eindgebruikers meer tijd geven om de beschikbare patches te installeren.

Dat heeft het techbedrijf via een blogposting aangekondigd. Google laat de eigen onderzoekers al jaren in de software van andere bedrijven zoeken. In het geval een kwetsbaarheid wordt gevonden zal Google de betreffende ontwikkelaar informeren. Die krijgt vervolgens 90 dagen de tijd om met een update te komen, anders zal Google de details openbaren. Volgens het techbedrijf wordt inmiddels 97,7 procent van alle bugmeldingen binnen deze deadline verholpen.

Zodra er in het verleden een beveiligingsupdate verscheen maakte Google details over de kwetsbaarheid openbaar. Dit zal vanaf 1 januari niet meer gebeuren. Alle kwetsbaarheden worden nu na 90 dagen openbaar gemaakt, ongeacht of er eerder al een beveiligingsupdate is verschenen. Dit moet eindgebruikers meer tijd geven om beschikbare updates te installeren voordat details openbaar worden waar cybercriminelen gebruik van zouden kunnen maken.

Daarnaast moet het bedrijven en ontwikkelaars meer tijd geven om goede beveiligingsupdates te ontwikkelen. "Te vaak zien we dat ontwikkelaars gemelde kwetsbaarheden via een lapmiddel verhelpen en niet naar varianten kijken of de hoofdoorzaak verhelpen", zegt Tim Willis van Google. Het techbedrijf zal het nieuwe beleid over een jaar evalueren en kijken of de aanpassingen permanent worden.