Microsoftは、バグ報奨金プログラムにおけるレポートの評価に関する新ルールを導入しました。提出内容の完全性を、報酬額により直接結びつける仕組みです。
Microsoft Security Response Center(MSRC)が2026年10月20日に発表したもので、従来の複数段階のレポート品質レベルを廃止し、「Complete(完全)」と「Not Complete(不完全)」の2段階の評価に置き換えます。
Cybersecuritynews platform
今回の見直しにより、脆弱性を報告する研究者に求められる要件が、これまでより明確になります。
バグ報奨金の新ルール
新ルールの対象は、米太平洋時間2026年10月20日午前8時以降に提出されたレポートです。それ以前に提出されたレポートには、従来のレポート品質要件が引き続き適用されます。
Microsoftは、情報不足を理由とする追加の問い合わせを減らしたい考えです。これにより、MSRCとエンジニアリングチームが脆弱性を再現し、影響を評価して、セキュリティ上の問題により効率的に対処できるようになります。
新しい枠組みでは、「Complete」のレポートに、脆弱性を理解・再現・評価するために必要な情報と裏付けとなる証拠をすべて盛り込む必要があります。
一方、「Not Complete」のレポートは、必須の要素や成果物が1つ以上欠けている提出物を指します。「Complete」と判定されたレポートは、「Not Complete」より高い報奨金を受け取れる可能性があります。研究者が報酬を得るうえで、最初の提出時点で十分な文書化が重要になることを裏付けています。
完全性は、脆弱性の深刻度やセキュリティへの影響とは別の基準です。技術的に詳細な報告であっても、問題が深刻であること、報奨金プログラムの対象範囲に含まれること、報酬の支払い対象となることを自動的に意味するわけではありません。Microsoftはこれらの要素を、引き続き個別に評価します。
つまり今回の発表が変えるのは、報告の質が報酬に与える影響であり、完全性が技術的な影響の代わりになるわけではありません。
「Complete」と評価されるには、明確な再現手順、信頼性が高く最小限の概念実証(PoC)、脆弱性の種類の明記が必要です。
可能な限り根本原因を特定した、詳細かつ正確な技術分析も求められます。さらに、影響を受ける環境やプラットフォーム、関連するバージョン、該当する場合は影響を受けるコンポーネントも示す必要があります。
悪用可能性についても、攻撃者の立ち位置、前提条件、脆弱性を引き起こすために必要な条件を詳しく説明しなければなりません。影響の記述では、攻撃者が何を達成できるのか、どのリソースやシステムが影響を受けるのかを明確にする必要があります。
Microsoftは、これらの情報が揃っていれば、追加のやり取りがほとんど、あるいはまったくなくても、報告内容を検証できるとしています。
裏付けとなる証拠は、製品カテゴリや脆弱性のクラスによって異なります。Microsoftは、必要になり得る成果物として、クラッシュダンプ、Time Travel Debugging(TTD)トレース、コールスタック、PoCのソースコード、Process Monitorのログ、パケットキャプチャ、動画によるデモンストレーションなどを挙げています。
報告によっては、主張する情報漏えいが有効であることを示すため、攻撃者がその情報にどう到達できるかの説明も必要です。
オンプレミス製品の場合、メモリ破損やサービス拒否(DoS)に関する報告では、クラッシュデータ、コールスタック、PoCのソースコードが求められる場合があります。
ファイルリダイレクトの報告ではProcess Monitorのログが、NTLM強制認証(coercion)やリレーの報告ではパケットキャプチャが必要になる可能性があります。Webアプリケーションの報告では、動画によるデモンストレーションや関連するスクリプトを添付できます。AIの脆弱性に関する報告は、引き続きMicrosoftが公開しているAI向けの報告ガイドラインに従う必要があります。
Vulnerabilityassessment service
重要なのは、Microsoftが最初の提出時点の文書と証拠をもとに完全性を判断する点です。MSRCから説明を求められることはありますが、後のやり取りで当初の完全性が認められるとは考えないほうがよいでしょう。
したがって、より高い報奨金を得たい研究者は、再現可能な検証結果、正確な分析、脆弱性ごとの成果物を提出物に含める必要があります。その際は、汎用的なレポートテンプレートだけに頼らず、該当するプログラムの要件を確認することが求められます。
影響が出る前にサイバー脅威を阻止し、MTTRを21分短縮。ANYRUNのサンドボックスをSOCに導入。
