Un ciclo di prodotto è il ritmo pianificato che un'azienda usa per progettare, testare, lanciare e aggiornare un prodotto. Di solito include sviluppo, convalida, rilascio, manutenzione e dismissione. Nel campo della cybersecurity, il ciclo di prodotto è importante perché ogni fase modifica la superficie di attacco: le build iniziali possono contenere impostazioni predefinite deboli, i processi di rilascio possono introdurre errori di configurazione e gli aggiornamenti possono creare brevi periodi in cui convivono versioni vecchie e nuove.
Gli attaccanti spesso monitorano i cicli di prodotto alla ricerca di finestre prevedibili, come programmi beta pubblici, grandi lanci e rilascio di patch. Possono prendere di mira software pre-release, sfruttare correzioni affrettate o abusare dei ritardi nell'applicazione delle patch da parte dei clienti. I difensori usano lo stesso ciclo a proprio vantaggio rafforzando i sistemi di build, eseguendo la scansione degli artefatti di rilascio, testando gli aggiornamenti prima della distribuzione e pianificando patch rapide. Un ciclo di prodotto disciplinato aiuta a ridurre l'esposizione e rende più semplice mantenere i controlli di sicurezza.