La divulgazione coordinata delle vulnerabilità (CVD, Coordinated Vulnerability Disclosure) è un processo per segnalare una falla di sicurezza al responsabile del prodotto interessato, valutarla e coordinare quando e come divulgarne i dettagli. Un coordinatore può aiutare il ricercatore e l’organizzazione a comunicare, concordare una tempistica e preparare una correzione prima della divulgazione pubblica.
La CVD è importante perché una divulgazione prematura può fornire informazioni utili agli aggressori prima che i difensori possano applicare le patch, mentre una gestione poco chiara può ritardare le correzioni o esporre ricercatori e organizzazioni a rischi evitabili. In pratica, i ricercatori inviano una segnalazione con prove e dettagli per riprodurre il problema; i fornitori svolgono indagini e sviluppano misure di mitigazione; le parti coordinano una data per la divulgazione. Un embargo può agevolare questo processo, ma una sua violazione può ridurre il tempo a disposizione dei difensori per prepararsi. La CVD è un processo di gestione della divulgazione, non una protezione legale automatica né un’autorizzazione a testare i sistemi. I ricercatori dovrebbero seguire le regole del canale, documentare il proprio lavoro ed evitare di accedere a dati o sistemi oltre i limiti di quanto autorizzato.