プログラムの大幅な刷新

Appleは、バグ報奨金プログラムを大幅に刷新し、最高報奨金を200万ドルに倍増すると発表しました。この高額な報奨金は、傭兵スパイウェア攻撃の洗練度に見合うエクスプロイトチェーンが対象となります。ロックダウンモードのバイパスやベータ版ソフトウェアの脆弱性に対するボーナスを含めると、Appleが支払う総額は500万ドルを超える可能性があり、同社はこれを「あらゆる報奨金プログラムの中で最大の支払い」と主張しています。

エクスプロイトチェーンと「ターゲットフラグ」

今回の刷新では、個々の脆弱性よりも完全なエクスプロイトチェーンに重点が置かれています。これは、実際の攻撃が複数のバグを連鎖させて行われるという現実を反映したものです。リモートエントリーベクターに対する報奨金も大幅に増額されました。

さらに、Appleは「ターゲットフラグ」という新しい仕組みを導入します。研究者が脆弱性を悪用することに成功した場合、コード実行や任意の読み書き機能など、達成したアクセスレベルを正確に証明する特定のフラグを「キャプチャ」できます。Appleがこのフラグを検証すると、研究者には直ちに報奨金が通知され、次の支払いサイクルで支払われるため、Appleがソフトウェア修正をリリースするまで数ヶ月待つ必要がなくなります。

報奨金対象カテゴリの拡大

新プログラムは2025年11月から発効します。報奨金対象カテゴリも拡大され、以下のような項目が含まれます。

• ワンクリックWebkitサンドボックスエスケープ：最大30万ドル
• あらゆる無線を介したワイヤレス近接エクスプロイト：最大100万ドル
• macOS上の完全なGatekeeperバイパス：10万ドル

他社との比較と実績

Appleは、2020年の公開プログラム開始以来、800人以上の研究者に3500万ドル以上を支払ったと発表しています。主要なテクノロジー企業のバグ報奨金プログラムと比較すると、Appleの今回の増額は業界トップクラスとなります。

• Apple: Apple Security Bounty – 200万ドル (スパイウェア級エクスプロイトチェーン、2025年11月より)
• Google: Vulnerability Reward Program – 150万ドル (AndroidのフルチェーンゼロクリックRCE、Chromeサンドボックスエスケープは最大310万ドル)
• Microsoft: Microsoft Bounty Programs – 25万ドル (Hyper-VまたはAzureのクリティカルRCE、製品により異なる)
• Meta: Meta Bug Bounty – 30万ドル (モバイルRCEエクスプロイト、Facebook/Instagramのプライバシー/侵害に焦点)
• Intel: Intel Bug Bounty – 10万ドル (クリティカルなハードウェアRCE、ソフトウェアのみの問題は低い)

元記事: https://www.macrumors.com/2025/10/10/apple-bug-bounty-program-overhauled/