Google zvýšil odmeny za chyby pamäťovej bezpečnosti v Chrome

Chrome VRP odmeny sa od 13. októbra 2026 menia. Google s okamžitou účinnosťou zvýšil základnú odmenu za chyby narúšajúce pamäťovú bezpečnosť, označované aj ako memory corruption, zo 500 na 2 000 dolárov. Úprava sa týka programu Chrome Vulnerability Reward Program (VRP), v ktorom firma odmeňuje bezpečnostných výskumníkov za nahlásené zraniteľnosti.

Nejde o oznámenie opravy konkrétnej chyby v prehliadači ani o informáciu o aktívne zneužívanej zraniteľnosti. Google upravuje ekonomické podmienky programu.

Chrome VRP odmeny rastú pri závažnejších nálezoch

Základná sadzba za chyby memory corruption sa zvýšila štvornásobne na 2 000 dolárov. Pri zraniteľnostiach v procesoch browser, network a GPU môže odmena podľa nových pravidiel dosiahnuť 20 000 dolárov.

Pre chyby zápisu do pamäte a use-after-free v renderer procese stanovuje program maximálnu odmenu 8 000 dolárov.

Google zároveň zaviedol paušálnu odmenu 2 000 dolárov za chyby bez narušenia pamäťovej bezpečnosti so strednou závažnosťou. Podmienkou je, aby hlásenie obsahovalo opravu alebo k identifikovanej oprave priamo viedlo.

Odmena za sandbox escape a nové fuzzery

Nové podmienky počítajú aj s odmenou až 20 000 dolárov za únik zo sandboxu, ak nejde o chybu pamäťovej bezpečnosti.

Firma tiež obnovila bonus 2 000 dolárov za nové fuzzery. Fuzzer je nástroj, ktorý automaticky testuje softvér veľkým množstvom vstupov s cieľom vyvolať chyby alebo nečakané správanie. Praktické podmienky bude dôležité sledovať v aktualizovaných pravidlách programu a FAQ.

Nové pravidlá sa dotknú aj časti čakajúcich hlásení

Google uviedol, že hlásenia vo fronte odoslané po 30. apríli 2026 vyhodnotí podľa nových pravidiel.

Aprílová úprava programu presmerovala dôraz na preukázateľné nálezy, ktoré sa ťažšie automatizujú, a pri memory-safety chybách stanovila základnú odmenu 500 dolárov. Októbrové pravidlá túto základnú sadzbu zvyšujú na 2 000 dolárov a pridávajú alebo obnovujú vybrané motivačné mechanizmy.

Google zmenu neoznačil za priame zvrátenie aprílových škrtov. Rovnako neuviedol, že by úprava Chrome VRP súvisela s októbrovým obmedzením prijímania produktových hlásení v samostatnom programe OSS VRP.

Čo sledovať ďalej

Pre výskumníkov nové sadzby zvyšujú odmeny za náročný výskum pamäťovej bezpečnosti, únikov zo sandboxu a za niektoré hlásenia so strednou závažnosťou, ktoré prinesú použiteľnú opravu. Ďalšie podrobnosti môžu priniesť aktualizované pravidlá Chrome VRP a FAQ, najmä pri kritériách pre bonus za fuzzery. Otvorenou otázkou zostáva aj to, či Google neskôr doplní širšie vysvetlenie dlhodobej stratégie programu.

Overené a aktualizované: 14. 10. 2026 06:26