據(jù) Google 的 Project Zero報告稱，與去年相比，組織正在更快地解決零日漏洞。軟件供應(yīng)商平均需要52天來解決零項目報告的漏洞，而3年前的平均時間約為80天。

好消息是修復(fù)漏洞的平均時間遠低于90天的最后期限，研究人員還觀察到錯過最后期限(或額外的14 天寬限期)的供應(yīng)商數(shù)量顯著減少 。谷歌零項目研究人員報告稱，在2021年，只有一種情況下供應(yīng)商超過了最后期限，而14%的錯誤需要寬限期。

“2019年至2021年之間，零項目在我們標(biāo)準(zhǔn)的90天期限內(nèi)向供應(yīng)商報告了376個問題。這些錯誤中的351個(93.4%) 已修復(fù)，而供應(yīng)商已將14個 (3.7%) 標(biāo)記為 WontFix。11個 (2.9%) 其他錯誤仍未修復(fù)，盡管在撰寫本文時 8 個已過了修復(fù)期限;其余 3 個仍處于修復(fù)期限內(nèi)。” 閱讀谷歌發(fā)布的報告?！按蠖鄶?shù)漏洞都集中在少數(shù)供應(yīng)商周圍，向微軟報告了 96 個錯誤 (26%)，向蘋果報告了 85 個 (23%)，向谷歌報告了 60 個 (16%)?！?/p>

下表包括自2019年1月以來，零項目在90天期限內(nèi)向供應(yīng)商報告并已修復(fù)的所有漏洞。

Linux、Mozilla 和 Google 是解決該漏洞最有效的組織，而最差的是甲骨文、微軟和三星。

Google Project Zero還分析了移動操作系統(tǒng)的零日指標(biāo)，iOS和 Android 修復(fù)漏洞的平均時間相似，平均修復(fù)時間分別為70天和72天。

“首先要注意的是，在這段時間里，iOS收到的來自零項目的錯誤報告似乎比任何版本的 Android都多得多，但這并不是研究目標(biāo)選擇的不平衡，這更多地反映了Apple的出貨方式軟件。iMessage、Facetime 和Safari/WebKit 等“應(yīng)用程序”的安全更新都作為操作系統(tǒng)更新的一部分提供，因此我們將這些更新包括在操作系統(tǒng)的分析中。另一方面，Android 上獨立應(yīng)用程序的安全更新是通過 Google Play 商店進行的，因此不包括在此分析中。盡管如此，所有三個供應(yīng)商的平均修復(fù)時間都非常相似。”

在處理網(wǎng)絡(luò)瀏覽器時，Chrome 的平均 bug 修復(fù)周期最短，為29.9天，而WebKit漏洞平均需要72.7天。

“在過去三年中，供應(yīng)商在很大程度上加速了他們的補丁程序，有效地將總體平均修復(fù)時間縮短到了大約52天。2021年，只有一個90天的期限被超過?！?/p>

這種趨勢可能是由于負(fù)責(zé)任的披露政策已成為行業(yè)事實上的標(biāo)準(zhǔn)，供應(yīng)商更有能力對不同期限的報告做出快速反應(yīng)。并且供應(yīng)商們已經(jīng)相互學(xué)習(xí)了最佳實踐，該行業(yè)的透明度越來越高。