Apple dobra recompensas: até US$2M por zero-click

A Apple publicou uma expansão e redesenho do seu programa de recompensas por bugs, dobrando os pagamentos máximos e criando categorias de pesquisa mais claras. O valor máximo subiu para US$2 milhões para relatos que comprovem vulnerabilidades de execução remota sem clique (zero-click RCE), com possibilidade de ultrapassar US$5 milhões quando somados bônus por descobertas como bypass de Lockdown Mode ou falhas em versões beta. Desde 2020 a Apple já havia pago US$35 milhões a 800 pesquisadores.

Leia também
TechEnabler anuncia incorporação de IA aos serviços
AI SOC Agent mostra eficiência contra phishing

O novo quadro inclui premiações específicas: US$1 milhão para ataques remotos com um clique, US$1 milhão para ataques por proximidade wireless, US$1 milhão para acesso não autorizado amplo ao iCloud, US$1 milhão por cadeias de exploração em WebKit que levem à execução arbitrária de código, e valores menores para escapes de sandbox e contornos do Gatekeeper. Também foi criada uma premiação de incentivo de US$1.000 para relatórios de baixo impacto, mas válidos.

Além das mudanças financeiras, a Apple disse que distribuirá mil IPhones 17 protegidos para organizações da sociedade civil em risco e amplía o programa Security Research Device em 2026. A empresa espera que o aumento nos incentivos acelere a descoberta responsável de falhas que, de outra forma, poderiam servir a fornecedores de spyware mercenário.

Recomenda-se que equipes de segurança e programas de resposta a vulnerabilidades acompanhem esse movimento, priorizem análise de cadeias de exploração complexas e considerem inscrição nos dispositivos de pesquisa da Apple. Gravidade do tipo de falha contemplada no pagamento principal: crítica (zero-click RCE).