Google elevou em 13 de outubro de 2026 a recompensa base por falhas de segurança de memória no Chrome, de US$ 500 para US$ 2.000. Para quem caça vulnerabilidades, o valor ainda fica abaixo do pago antes de abril, mas há pagamentos de até US$ 20.000 em categorias específicas.
Valores por categoria no programa Chrome VRP
Segundo o SecurityWeek, o novo valor quadruplica a base de US$ 500 definida em abril de 2026, quando o Google reformulou o programa e reduziu os pagamentos padrão. Em processos do navegador, GPU e rede, as recompensas chegam a US$ 20.000. No processo de renderização, falhas de uso após liberação e escrita de memória pagam até US$ 8.000.
Falhas no sandbox do V8 pagam valor fixo de US$ 5.000, e erros de lógica do V8 rendem US$ 4.000. Problemas de severidade média sem relação com memória recebem US$ 2.000, desde que o relatório inclua a correção ou leve diretamente a ela. Escapes de sandbox sem falha de memória podem render até US$ 20.000. O bônus de US$ 2.000 para fuzzers novos também voltou.
“Um objetivo principal do Chrome VRP sempre foi identificar formas de melhorar nossos testes internos”, disse o Google, conforme o Help Net Security.
Relatórios de IA e a pausa no programa de código aberto
Em 1º de outubro de 2026, o Google suspendeu temporariamente o envio de vulnerabilidades de produtos ao OSS VRP, programa de recompensas para software de código aberto. O SecurityWeek diz que a decisão foi motivada por um número crescente de relatórios gerados por IA. A conta @GoogleVRP escreveu que a empresa deixou de aceitar esses envios por enquanto.
Para o Chrome, a documentação oficial limita relatórios que não cumprem os requisitos básicos a uma recompensa abaixo do padrão, conforme o Brain_ing, que republicou a matéria do TecMundo. Envios feitos depois de 30 de abril de 2026 que ainda estavam na fila serão avaliados pelas novas regras, segundo o Help Net Security. Os relatórios seguem pelo Google Bug Hunters, na opção Chrome VRP.
O que você acha? Você acredita que recompensas maiores atraem relatórios melhores? Para acompanhar mais, acesse nossa editoria de Cibersegurança.
Perguntas Frequentes
Qual é a nova recompensa base do Chrome para falhas de memória?
Chrome VRP passou a pagar US$ 2.000 como recompensa base por falhas de segurança de memória, quatro vezes os US$ 500 definidos em abril de 2026. O anúncio é de 13 de outubro de 2026, e o valor ainda fica abaixo do que o Google pagava antes da reformulação de abril.
Qual é o pagamento máximo do Chrome VRP após a mudança?
Chrome VRP paga até US$ 20.000 em duas situações: escritas controladas a partir de conteúdo web em processos do navegador, GPU e rede, e escapes de sandbox sem relação com segurança de memória. Falhas de renderização chegam a US$ 8.000, e o sandbox do V8 rende um valor fixo de US$ 5.000.
Por que o Google pausou o programa de código aberto?
OSS VRP, o programa de recompensas do Google para software de código aberto, parou de aceitar envios de vulnerabilidades de produtos em 1º de outubro de 2026. O SecurityWeek diz que a decisão veio de um número crescente de relatórios gerados por IA. A pausa é temporária e vale só para o OSS VRP, não para o Chrome VRP.
