Bugtraq est une liste de diffusion consacrée à la sécurité informatique. Les sujets abordés incluent les nouvelles vulnérabilités, les annonces de sécurité des éditeurs, les méthodes d'exploitation et les correctifs. La liste a historiquement été très active, avec jusqu'à 776 messages par mois, et la quasi-totalité des nouvelles vulnérabilités de sécurité y étaient discutées à ses débuts. La liste est inactive de début 2021 à août 2026, date à laquelle elle est relancée sous une nouvelle direction.
Bugtraq est créée le par Scott Chasin en réponse aux faiblesses perçues de l'infrastructure de sécurité d'Internet de l'époque, en particulier le CERT. La politique de Bugtraq est de publier les vulnérabilités indépendamment de la réponse des éditeurs, dans le cadre du mouvement de divulgation complète. La liste compte 2 500 abonnés en mai 1995 et plus de 40 000 en février 2000.
Elias Levy (en), connu sous le pseudonyme Aleph One, note dans une interview que « l'environnement à cette époque est tel que les éditeurs ne produisent aucun correctif. Le problème est donc de corriger les logiciels que les entreprises ne corrigent pas. »
Bugtraq est originellement hébergée sur Crimelab.com, géré par Scott Chasin. Elle est transférée au Brown University NetSpace Project — depuis réorganisé en NetSpace Foundation — le , jour du début de sa modération. En , la liste devient la propriété de SecurityFocus,. SecurityFocus est rachetée par Symantec le . En 2002, la liste Full-Disclosure est créée, nombre de participants estimant que Bugtraq a « changé en mal ».
Le , Accenture achève l'acquisition des services de cybersécurité de Symantec, incluant SecurityFocus et Bugtraq.
Le , Jonathan Brossard annonce l'acquisition de SecurityFocus et de la marque Bugtraq, décrivant le projet comme étant au service de la communauté : « We are providing the platform. The community decides what it becomes. »,
La liste de diffusion est originellement non modérée, puis ne reçoit qu'une modération occasionnelle jugée insuffisante par de nombreux participants.
La modération commence le . Elias Levy (en) modère la liste du au . David Mirza Ahmad prend le relais jusqu'au . David McKinney, analyste DeepSight chez Symantec, lui succède. La modération est ensuite assurée par un autre analyste DeepSight, Prasanna.
Après le rachat par Symantec, certains chercheurs constatent des retards dans la modération, celle-ci n'ayant plus lieu le week-end. Malgré ces retards, les informations issues de certains messages sont utilisées dans l'offre commerciale DeepSight de Symantec.
À compter du , Symantec cesse d'approuver les messages envoyés à Bugtraq. Aucun message des administrateurs ni aucune déclaration de Symantec n'est publié. La base de données de vulnérabilités BID, maintenue par Symantec, a cessé d'être mise à jour publiquement le , un mois avant le rachat de la branche entreprise de Symantec par Broadcom.
Le , Accenture annonce la fermeture de Bugtraq, invoquant que « les ressources de la liste de diffusion BugTraq n'ont pas été priorisées ». La décision est toutefois reconsidérée sous la pression de la communauté, et le , Accenture publie un message annonçant la continuation de Bugtraq. Malgré ce revirement, ce message est le dernier publié sur la liste, et aucune activité n'est enregistrée pendant plus de cinq ans.
Le , lors de la conférence DEF CON 34 à Las Vegas, Jonathan Brossard annonce la relance de la liste de diffusion en tant que plateforme indépendante au service de la communauté,. Le fondateur de la DEF CON, Jeff Moss, publie un message sur la liste relancée pour saluer l'initiative et soulever la question de la divulgation complète face à la divulgation coordonnée de vulnérabilités.
