Bugtraq ressuscite : la mailing list légendaire de la sécu est de retour sur SecurityFocus

Bugtraq - la mailing list de référence de la communauté sécurité depuis 1993 - vient de redémarrer sur SecurityFocus. Une résurrection inattendue pour un canal qui a formé des générations de chercheurs en vulnérabilités.

Qu'est-ce que Bugtraq ?

Bugtraq est l'une des plus anciennes et plus influentes mailing lists de divulgation de vulnérabilités au monde. Créée en 1993 par Scott Chasin, elle a été pendant plus d'une décennie le canal de référence pour la publication de CVE (avant que le terme ne soit normalisé), d'exploits et d'analyses de sécurité. Des chercheurs comme Bruce Schneier, Dan Kaminsky ou Solar Designer y ont publié certains de leurs travaux les plus marquants.

SecurityFocus a racheté et hébergé Bugtraq jusqu'à son acquisition par Symantec (2002), puis le canal a progressivement perdu de son éclat avec la montée en puissance des bases CVE officielles, des advisories vendeurs, de GitHub et de Twitter comme vecteurs alternatifs. La liste est entrée dans une longue torpeur.

Le retour

Selon une annonce publiée sur lists.securityfocus.com et repérée sur Hacker News le 5 août 2026, Bugtraq est officiellement de retour avec une nouvelle équipe de modération. Le format reste celui d'une mailing list classique - abonnement par email, archives publiques, soumissions ouvertes.

L'annonce ne donne pas de détails sur les changements de gouvernance ni sur les sponsors éventuels, mais la plateforme technique (Hyperkitty) est la même que celle utilisée par les mailing lists de la Linux Foundation et d'autres projets open source majeurs.

Pourquoi c'est notable en 2026

L'information peut sembler anecdotique dans un contexte où existent NVD, OSV, GitHub Security Advisories, les advisories CISA et des dizaines de feed spécialisés. Pourtant, Bugtraq a quelque chose que ces outils n'ont pas : une culture de divulgation directe, non filtrée par les éditeurs.

Le modèle coordinated disclosure (ou responsible disclosure) a ses mérites, mais il a aussi ses angles morts - notamment quand un éditeur traîne des mois à patcher une faille connue. Bugtraq était un recours pour les chercheurs en bout de course, et cette mécanique peut encore être utile.

La question ouverte : dans un environnement où LinkedIn et X/Twitter ont largement remplacé les mailing lists pour la diffusion rapide d'information, quel sera réellement l'audience de ce retour ? L'archive historique de Bugtraq reste une ressource précieuse pour les chercheurs - c'est peut-être l'argument principal du relancement.

À faire maintenant : si vous êtes chercheur en sécurité ou responsable veille, envisagez de vous abonner à la liste sur lists.securityfocus.com pour surveiller les divulgations early-stage qui n'auront pas encore de CVE attribué.