Google пересмотрела программу вознаграждений за уязвимости в Chrome (VRP): выросли выплаты за ряд ошибок, появились новые категории наград, а также вернулся бонус для авторов специализированных инструментов тестирования.
Что изменилось в выплатах:
базовая награда за повреждение памяти выросла в четыре раза, до $2000;
контролируемое чтение данных и сбои в процессах браузера, GPU и сети: $4000;
контролируемая запись данных: до $20 000;
use-after-free (UAF) и ошибки записи в процессе визуализации страниц: $8000.
Для V8 установлены фиксированные выплаты: $5000 за проблемы с песочницей V8 Sandbox и $4000 за логические ошибки в этом JavaScript-движке.
За уязвимости средней опасности, не связанные с безопасностью памяти, заплатят $2000. За критические ошибки по-прежнему предусмотрены награды до $20 000.
Вернулась надбавка $2000 к основному вознаграждению за фаззинг по программе Chrome Fuzzer Bonus. Фаззинг — это проверка безопасности, при которой программе передают специально подготовленные некорректные данные, чтобы выявить ошибки. Бонус предназначен для тех, кто создаёт новые инструменты тестирования Chrome.
Также Google введёт ежегодные награды в номинациях «Больше всего находок», «Лучшая ошибка» и «Лучший отчёт».
Заявки, отправленные после 30 апреля 2026 года и ещё не проверенные, оценят по новой системе выплат. Обновлённые правила опубликованы на странице программы вознаграждений Google.
Одновременно Google приостановила приём сообщений об уязвимостях в проектах с открытым исходным кодом, а Intel передала поиск уязвимостей в своём ПО и аппаратных продуктах на откуп энтузиастам.