GitHub reduz recompensas do programa público de recompensas por bugs a partir de julho de 2026
O GitHub está cortando os pagamentos do programa público de recompensas por bugs em até 50%, transferindo as principais recompensas para um programa VIP exclusivo por convite. A mudança afeta todos os níveis de gravidade, com relatórios críticos agora limitados a US$ 10.000.
TL;DR
- A partir de 27 de julho de 2026, o GitHub reduz os pagamentos do programa público de recompensas por bugs em todos os níveis de gravidade.
- As recompensas por vulnerabilidades críticas caem de US$ 20.000–US$ 30.000+ para um valor fixo de US$ 10.000.
- Pagamentos mais altos (acima de US$ 30.000) são movidos exclusivamente para um programa VIP permanente por convite.
- Relatórios enviados antes do corte mantêm as estruturas de recompensa anteriores.
- A mudança pode impactar a participação dos pesquisadores no programa público de segurança do GitHub.
Em uma mudança significativa para sua comunidade de segurança, o GitHub anunciou grandes cortes nas recompensas do seu programa público de recompensas por bugs, iniciando em 27 de julho de 2026. A nova estrutura reduz à metade os pagamentos em todos os níveis de gravidade das vulnerabilidades, com descobertas críticas agora limitadas a US$ 10.000 — menos do que as faixas anteriores de US$ 20.000 a mais de US$ 30.000.
Para compensar essas reduções, o GitHub está expandindo seu nível VIP exclusivo por convite do programa de recompensas por bugs, que continuará oferecendo recompensas de US$ 30.000 ou mais. Embora os envios já existentes feitos antes da mudança mantenham seus termos originais de pagamento, a decisão levanta preocupações entre os pesquisadores públicos sobre incentivos reduzidos e possíveis barreiras à entrada.
Principais mudanças no programa de recompensas por bugs do GitHub
- Pagamentos públicos para vulnerabilidades críticas diminuem de US$ 20.000–US$ 30.000+ para um valor fixo de US$ 10.000.
- Todas as categorias de menor gravidade também sofrem uma redução de pelo menos 50% nos valores das recompensas.
- Recompensas acima de US$ 30.000 agora são restritas a um programa VIP exclusivo por convite.
- Relatórios triados enviados antes de 27 de julho de 2026 permanecem elegíveis aos níveis de pagamento anteriores.
Implicações para pesquisadores de segurança
- O incentivo financeiro reduzido pode desencorajar pesquisadores independentes de focarem no GitHub.
- A mudança para recompensas altas somente no VIP pode beneficiar pesquisadores estabelecidos ou bem conectados.
- As preocupações da comunidade giram em torno da acessibilidade e transparência nos programas de divulgação de vulnerabilidades.
- Outras plataformas podem precisar avaliar suas próprias estruturas de recompensa em resposta às mudanças do GitHub.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.