Chrome VRP: Google majorează recompensele, dar doar parțial

Google a majorat recompensele din Chrome Vulnerability Reward Program (Chrome VRP), programul care plătește cercetătorii ce raportează vulnerabilități în browser. Anunțul a fost făcut marți, 13 octombrie 2026, și a fost relatat de SecurityWeek și Help Net Security. Noutățile privesc mai ales defectele de corupere a memoriei și evadările din sandbox.

Este a doua intervenție a Google asupra programelor sale de recompense în doar câteva săptămâni: la începutul lui octombrie, ARX News a relatat suspendarea recompenselor pentru vulnerabilitățile de produs din OSS VRP, copleșit de rapoarte automate nevalide. Nu există CVE-uri sau actualizări legate de această știre.

Ce s-a întâmplat

Potrivit SecurityWeek, în aprilie 2026 Google a redus considerabil recompensele standard pentru unele vulnerabilități din Chrome, pentru a concentra programul pe rapoartele utile pentru remediere; unii cercetători au observat recompense de zece ori mai mici. Baza pentru problemele de siguranță a memoriei a scăzut la 500 de dolari, cu multiplicatori în funcție de cât de accesibil este defectul și de gradul de exploatabilitate. Publicația leagă aceste ajustări de felul în care inteligența artificială schimbă ritmul și profilul descoperirii vulnerabilităților.

Acum baza urcă la 2.000 de dolari, de patru ori mai mult: ambele surse confirmă. SecurityWeek precizează că, în ciuda creșterii, noile tarife rămân cu mult sub cele în vigoare înainte de revizuirea din aprilie; Help Net Security nu menționează reducerile și prezintă știrea doar ca pe o actualizare a programului.

Noile tarife

Pentru coruperea memoriei (date concordante în ambele surse, cu excepția celor indicate):

• procesele browser, de rețea și GPU: până la 20.000 de dolari. Doar Help Net Security detaliază scala: până la 4.000 de dolari pentru citiri și blocări, până la 10.000 pentru scrieri, use-after-free și citiri controlate, până la 20.000 pentru scrieri controlate demonstrate pornind de la conținut web;
• procesul renderer, cel care procesează paginile: până la 8.000 de dolari pentru scrieri în memorie și use-after-free;
• sandboxul V8: sumă fixă de 5.000 de dolari;
• erorile logice din V8: 4.000 de dolari.

În afara siguranței memoriei:

• 2.000 de dolari fix pentru vulnerabilitățile de gravitate medie, dacă raportul conține o corecție sau duce direct la identificarea ei;
• până la 20.000 de dolari pentru evadările din sandbox care nu folosesc buguri de memorie (cele cu impact ridicat, potrivit Help Net Security).

Revine și bonusul de 2.000 de dolari pentru fuzzere, destinat celor care dezvoltă și contribuie cu fuzzere noi. Potrivit Help Net Security, modalitățile de trimitere vor fi publicate în FAQ-ul Chrome VRP împreună cu echipa Chrome Fuzzing, iar Google plănuiește premii discreționare de final de an (cele mai multe descoperiri, cel mai bun raport, cel mai bun bug).

Regulile se aplică imediat: rapoartele trimise după 30 aprilie 2026 și aflate încă în evaluare vor fi plătite după noile tarife, după cum relatează ambele surse.

De ce contează procesul și sandboxul

Scala recompenselor urmează arhitectura Chrome. Rendererul rulează conținutul web într-un proces izolat și cu puține privilegii: un bug de memorie acolo este grav, dar singur rămâne izolat. Procesele browser, de rețea și GPU lucrează cu mai multe privilegii, deci un defect exploatabil dintr-o pagină web este mai aproape de compromiterea sistemului. Sandboxul V8 este o barieră suplimentară în interiorul rendererului, gândită să limiteze efectele bugurilor din motorul JavaScript.

Sursele nu descriu atacuri în curs. În lanțurile reale de atac însă, aceste clase de defecte sunt cele folosite pentru compromiterea în timpul navigării (MITRE ATT&CK T1189, Drive-by Compromise) și pentru executarea de cod pe client (T1203): a plăti mai mult celor care le găsesc, și celor care aduc și corecția, are scopul ca ele să fie închise mai repede.

Impactul pentru companiile europene și italiene

Dacă administrezi stații de lucru, nimic nu se schimbă imediat: nu există patch-uri noi. Contează direcția: Google răsplătește mai generos bugurile care ocolesc izolarea și rapoartele care vin cu corecția, adică ceea ce scurtează timpul dintre descoperire și actualizare. Browserul rămâne unul dintre programele cele mai expuse din companie, iar ciclul său de actualizare trebuie gestionat la fel ca al sistemului de operare.

Pentru entitățile NIS2, gestionarea vulnerabilităților și a actualizărilor face parte din măsurile de gestionare a riscurilor; producătorii de software care intră sub Cyber Resilience Act vor trebui să aibă și o politică de divulgare coordonată a vulnerabilităților. Alegerile Google sunt o referință utilă și dacă administrezi propriul canal de raportare.

Ce să faci acum

1. Păstrează activă actualizarea automată pentru Chrome și celelalte browsere bazate pe Chromium și verifică prin politicile de administrare că nicio stație nu a dezactivat-o.
2. Verifică în inventar versiunea instalată și mașinile cu repornirea browserului în așteptare: actualizarea se aplică doar la redeschidere.
3. Nu dezactiva sandboxul (de exemplu cu opțiunea --no-sandbox în chioșcuri, automatizări sau aplicații integrate): este bariera care face lanțurile de atac mai costisitoare.
4. Dacă administrezi un program de raportare, răsplătește rapoartele cu dovezi reproductibile și o corecție propusă, așa cum face acum Google, și măsoară timpul necesar pentru verificarea lor.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, cu vechimea lor și cu cele deja exploatate de atacatori evidențiate: te ajută să găsești stațiile cu un browser rămas în urmă. ARX Sentry colectează inventarul calculatoarelor și serverelor, ca să știi ce versiuni sunt cu adevărat instalate.

Ultima actualizare: 14 octombrie 2026