Bugtraq war eine Mailingliste, die Themen der Computersicherheit gewidmet war. In ihr wurden Schwachstellen in Computerprogrammen, Möglichkeiten zur Ausnutzung (sogenannte Exploits) und Vorgehensweisen, um diese Lücken zu schließen, diskutiert. Bugtraq war eine Mailingliste mit einer großen Anzahl an Beiträgen, da nahezu alle neuen Sicherheitslücken hier angesprochen wurden.

Bugtraq wurde am 5. November 1993 von Scott Chasin gegründet, um auf das wahrgenommene Unvermögen der damals existierenden Sicherheits-Infrastruktur im Internet, speziell der CERT, zu reagieren. Dabei war es Bugtraqs Ziel, Sicherheitslücken unabhängig möglicher Reaktionen der betroffenen Softwareherstellern umgehend und vollständig zu veröffentlichen.

Elias Levy bemerkte dazu in einem Interview, dass „die Bedingungen zu jener Zeit so waren, dass die Hersteller grundsätzlich keine Aktualisierungen bereitstellten. Der Fokus lag also darauf, wie man Software verbessern konnte, die nicht von ihrem Hersteller verbessert wurde.“

Ursprünglich war die Mailingliste offen, doch aufgrund zunehmender unbrauchbarer Beiträge wurde die Liste ab dem 5. Juni 1995 redaktionell bearbeitet. Elias Levy moderierte die Liste vom 14. Juni 1996 bis zu seinem Rücktritt am 15. Oktober 2001.

Bugtraq war ursprünglich bei Crimelag.de gehostet. Die Liste wurde dem Brown University NetSpace Project übertragen, welches zu der NetSpace Foundation umorganisiert wurde. Im Juli 1999 wurde Bugtraq Eigentum der Firma SecurityFocus, welche am 6. August 2002 wiederum von der US-amerikanischen Softwarefirma Symantec aufgekauft wurde. Mit dem Verkauf großer Teile von Symantec am 4. November 2019 an die Firma Broadcom ging auch Bugtraq samt der Domain securityfocus.com in deren Besitz über. Ab Mitte April 2020 war die Bugtraq-E-Mail nicht mehr erreichbar.

Am 15. Januar 2021 gab es eine letzte E-Mail über den Bugtraq-Verteiler mit der Information, dass der Betrieb der Mailingliste eingestellt und das BugTraq-Archiv zum 31. Januar 2021 abgeschaltet werde. Hintergrund sei der Weiterverkauf von SecurityFocus an Accenture 2020 und dass dort für den Weiterbetrieb von BugTraq keine Ressourcen zur Verfügung gestellt würden.^[1]

Im August 2026 gab der Sicherheitsforscher Jonathan Brossard bekannt, dass er die Domain securityfocus.com und die Namensrechte an Bugtraq gekauft habe. Die Mailingliste startete er unter der alten Adresse [email protected] neu. Sie solle dem Prinzip des Full Disclosure folgen und Sicherheitslücken ohne redaktionelle oder unternehmerische Kontrolle veröffentlichen. Die alten Archive sollen davon getrennt erhalten bleiben, aufbauend auf Community-Kopien der öffentlichen Listenbeiträge. Als Grund nannte Brossard unter anderem, dass die Geschichte der IT-Sicherheitsforschung durch tote Links und nicht mehr gepflegte Server verloren gehe.^[2]

• Salon - Technology & Business - How do you fix a leaky Net? (enthält eine Erwähnung von Bugtraq)
• Spirit - Network Defense - Full Disclosure, or Tales to embarrass Vendors ~ The Good Old Days (a history of the CERT Advisory CA-93:15 fiasco)

1. ↑ Accenture Completes Acquisition of Broadcom’s Symantec Cyber Security Services Business. (html) Abgerufen am 16. Januar 2021 (englisch). 
2. ↑ Bugtraq is back. (html) Abgerufen am 5. August 2026 (englisch).