Googleは、オープンソースソフトウェアの脆弱性報奨プログラム「OSS VRP」で、新たな製品脆弱性の報告受付を一時停止しました。自動化された報告が大幅に増え、その大半が有効ではなかったためです。ソフトウェアのサプライチェーンに関する報告や、すでに受け付けた報告の処理は続きます。
停止の対象は新しい製品脆弱性の報告
停止の対象は、OSS VRPへの製品脆弱性の新規報告です。2026年10月1日より前に提出された製品脆弱性の報告は影響を受けません。サプライチェーン報告も引き続き受け付けます。
OSS VRPは、Googleが管理するオープンソースソフトウェアなどのセキュリティ上の問題を研究者から募り、報奨金を支払う制度です。対象にはGo、Angular、Bazel、Protocol Buffers、Fuchsiaのほか、GitHub Actionsなどのリポジトリー設定や、重要なサードパーティー依存関係が含まれます。Googleは2022年8月に制度を開始し、報奨金を100ドルから3万1,337ドルとしていました。
製品脆弱性の報告とサプライチェーン報告は、扱う問題が異なります。前者は対象ソフトウェア自体の脆弱性を報告するものです。サプライチェーン上の問題には、ソフトウェアの供給経路や開発環境を通じた侵害につながる欠陥などが含まれます。Googleは制度の重点をソフトウェアサプライチェーンへの影響が大きい問題に置いており、製品脆弱性の受付を止めた後も、サプライチェーン報告は対象として残しています。
別の報告制度は継続
Googleは、オープンソースソフトウェア向けの修正を提出する「Patch Rewards Program」も案内しています。同制度では、影響の大きい修正に最大1万5,000ドルの報奨金を設けています。また、Google Cloudの製品に影響する脆弱性は、Cloud VRPを通じて報告できます。
これらはOSS VRPの受付再開を意味するものではありません。Patch Rewards Programは修正の提出を募る制度で、Cloud VRPはGoogle Cloud製品に影響する脆弱性を扱います。Googleは、報告する問題が各制度の対象に合うか確認したうえで利用するよう研究者に促しています。
GoogleはOSS VRPの自動報告への対応を見直しており、変更内容について2027年第1四半期に更新するとしています。
自動化ツールによる報告の増加は、Google以外の脆弱性報奨制度でも課題になっています。curlの保守担当者は2026年1月、無効な報告が大量に届いたことを受け、同プロジェクトのHackerOne報奨制度を終了しました。
