Entdeckte Sicherheitslücken in GNOME-Komponenten verwaltet zentral die Stelle GNOME Security. Dahinter steht im Wesentlichen Michael Catanzaro, der jetzt nicht nur den Prozess verändert, sondern auch für den Herbst einen Nachfolger sucht.
Wer eine Sicherheitslücke in einer GNOME-Software entdeckt, meldet diese direkt an GNOME Security. Bislang haben die Entwickler dann 90 Tage Zeit, die Lücke zu schließen, bevor Michael Catanzaro eine CVE-Nummer beantragt und den Bug öffentlich macht. Durch diese Verzögerung müssen die Entwickler des entsprechenden GNOME-Projekts nicht übereilt die Lücke stopfen.
Die 90 Tage Schweigepflicht nutzen zwar auch viele andere Projekte, in der Praxis hat sie sich aber für das GNOME-Projekt als zu lang erwiesen. Laut Michael Catanzaro würden GNOME-Maintainer die Sicherheitslücken in ein bis drei Wochen oder aber überhaupt nicht flicken. Ab dem 1. August 2026 setzt er daher die Frist auf 30 Tage herab.
Des Weiteren wird er auch weiterhin explizit nicht zwischen Meldungen mit KI-generierten Inhalten und solchen ohne unterscheiden. Alle Sicherheitsmeldungen gleichzubehandeln wäre deutlich einfacher, zumal die einreichenden Personen die Nutzung von KI selten zugeben würden und mit KI erstellte Reports mittlerweile üblich seien.
Auswirkungen hat diese Gleichstellung allerdings auf GNOME-Projekte, die solche KI-generierten Bug-Reports konsequent ausschließen. In solchen Fällen wird Michael Catanzaro die entsprechende Meldung im GNOME Security Issue Tracker sofort schließen und das Projekt darüber informieren, dass ein Report vorliegt. Wer dieses Verfahren nicht möchte, der solle die AI Policy des Projekts um eine Ausnahme für Sicherheitslücken erweitern.
Abschließend kündigt Michael Catanzaro an, von seinem Posten zurückzutreten. Die Arbeit im Rahmen von GNOME Security bestünde weitgehend aus einfachen Verwaltungsaufgaben, deren er müde geworden sei. Ab dem 1. November bearbeitet er daher nur noch die vor diesem Datum eingegangenen Meldungen, ab dem 1. Dezember legt er dann seine Arbeit nieder. Gleichzeitig mit dieser Ankündigung sucht er einem Nachfolger, der aber nicht von Außen kommen sollte („Security tracking is not a good task for newcomers.“).
