极海上线CVD协调漏洞披露平台，积极响应欧盟CRA网络安全法规

CRA（Cyber Resilience Act，欧盟网络弹性法案） ，是欧盟具备法律效力的网络安全法规，管辖范围覆盖所有可直接或间接联网的软硬件产品。法规强制要求产品制造商履行安全设计、漏洞闭环管理、安全版本更新、安全事件上报等全生命周期网络安全责任。

什么是 CVD 平台？

CVD（Coordinated Vulnerability Disclosure，协调漏洞披露），是CRA法案明确要求企业必须落地的漏洞处置机制。

极海构建CVD平台，旨在建立标准化漏洞接收、处置、披露闭环体系，核心能力如下：

• 提供安全可信的漏洞专属上报通道，支持匿名提交；
• 规范漏洞接收、验证分级、修复，协调披露完整流程；
• 补丁发布前对漏洞信息做保密管控，防止漏洞被恶意利用；
• 完整留存漏洞处置记录，满足 CRA 审计溯源，协助下游终端厂商完成合规举证。

极海CVD产品布局

现阶段，极海多款APM32 MCU产品已全面支持通过CVD平台提交安全漏洞，受理范围覆盖对应型号的芯片硬件、原厂固件、Bootloader、SDK软件开发包以及官方参考代码等相关安全隐患，有助于夯实 APM32 MCU 产品网络安全底座。

•  建设专属漏洞报告渠道：上线公开可访问的CVD漏洞披露平台，提供明确漏洞反馈途径与联系方式；
• 发布正式CVD政策文件：公开完整的协调漏洞披露规则，清晰界定受理边界、处置流程以及安全港声明；
• 高效联动安全研究人员：收到漏洞报告48小时内完成接收确认，全程保持沟通渠道畅通；
• 保障产品生命周期安全更新：在产品官方声明的支持周期内，完成漏洞修复，输出固件补丁、SDK迭代包或风险缓解方案；
• 规范协调漏洞公开披露：修复方案就绪后发布安全公告，统一对外披露漏洞详情、受影响版本、处置建议。
• 输出合规配套资料：向客户提供安全手册、风险相关文档，助力下游客户开展 CRA 符合性评估工作。

随着海外市场网络安全监管日趋严格，芯片底层安全已经成为嵌入式产品出海不可忽视的关键门槛。极海将严格遵循CRA等国际网络安全法规，不断迭代产品安全与漏洞响应体系，从芯片硬件、固件到SDK 软件生态全方位强化安全能力，为广大客户的产品出海保驾护航。