Microsoft paga 20 milhões para caçar bugs também em open source

Entre 1 de julho de 2025 e 30 de junho de 2026, a Microsoft pagou um recorde de 20 milhões de dólares, cerca de 18,5 milhões de euros, a caçadores de bugs. O detalhe que interessa agora é outro: parte desse dinheiro foi para vulnerabilidades em projectos open source, bibliotecas de terceiros e mais serviços cloud. Ou seja, a empresa decidiu finalmente pagar também por falhas fora das suas quatro paredes.

Com o novo escopo, surgiram mais de 300 relatórios de vulnerabilidades que, até aqui, seriam simplesmente recusados pelo programa. Só para bugs em software open source e componentes de terceiros, a Microsoft diz ter pago mais de 800 mil dólares, perto de 740 mil euros. O número é modesto face ao total, mas sinaliza o óbvio que o sector andou anos a ignorar: se a base da pirâmide é uma biblioteca open source esquecida no GitHub, é aí que se parte a cadeia de supply chain, não na interface brilhante do serviço final.

No total, 562 investigadores receberam recompensa, com uma média a rondar os 35 mil dólares por cabeça, aproximadamente 32 mil euros. O prémio médio é alto, mas o interesse real está na arquitectura do programa: ao pagar por falhas em componentes upstream, a Microsoft admite que a segurança dos seus produtos está ligada à saúde de projectos que não controla. Para quem trabalha com .NET, NuGet e o universo Azure em Portugal, isto significa que vulnerabilidades em pacotes e SDKs que usam todos os dias podem, em teoria, ser reportadas com recompensa em vez de ficarem enterradas num issue sem resposta.

O relatório da empresa também puxa pelo Microsoft Zero Day Quest, que gerou perto de 700 relatórios e 2,3 milhões de dólares em pagamentos a investigadores de 20 países. Aqui há um detalhe incómodo que a própria Microsoft menciona: a investigação assistida por IA está a acelerar a descoberta de falhas, mas está também a entupir o processo com submissões que nem sempre valem a triagem. Modelos como o Claude Mythos conseguem apontar potenciais vulnerabilidades mais depressa do que as equipas internas conseguem validar e corrigir. A automação passou a ser arma dos defensores e, ao mesmo tempo, um gerador industrial de ruído.

Para tentar fechar outras portas da cadeia de fornecimento, a empresa reduziu recentemente o tempo de vida das chaves de API do NuGet, tentando limitar o impacto de credenciais de publicação roubadas, algo que qualquer equipa DevOps minimamente séria em Portugal já anda a mitigar localmente com rotação agressiva de segredos. É um passo sensato, mas tardio, depois de anos a tratar a segurança do open source como problema alheio. Ao incluir projectos abertos no programa de bug bounty, a Microsoft compra boa vontade da comunidade e dados concretos sobre a sua própria dependência desses blocos de código. Se vai manter o compromisso quando a factura subir mais alguns milhões, essa é outra conversa.

Fonte: Open Source For You