Microsoft a annoncé qu’au cours de la dernière année, ses programmes de bug bounty Microsoft ont permis de rémunérer des chercheurs pour des signalements de vulnérabilités. L’entreprise met en avant un total de plus de 20 millions de dollars versés, ainsi qu’un volume de soumissions en hausse, notamment sur la seconde moitié de l’exercice.
Cette publication donne aussi un aperçu du fonctionnement des mécanismes de récompense : nombre de rapports reçus, taux d’éligibilité, répartition des gagnants et montants maximaux. Enfin, l’initiative n’est pas sans contestations côté chercheurs, avec des allégations autour du traitement de certains signalements.
Plus de 20 millions de dollars distribués
Microsoft indique qu’entre le 1er juillet 2025 et le 30 juin 2026, elle a versé plus de 20 millions de dollars via ses programmes de chasse aux vulnérabilités. Sur cette période, l’entreprise précise avoir reçu des rapports via 15 programmes de bug bounty, émanant de chercheurs situés dans 64 pays.
Le nombre de rapports jugés éligibles s’élève à 2 531. Au total, 562 chercheurs ont été récompensés, avec un cumul supérieur à 20 millions de dollars. Le paiement le plus élevé mentionné atteint 200 000 dollars.
15 programmes, 64 pays, 2 531 rapports éligibles
Le dispositif repose sur un réseau de programmes distincts, chacun ciblant des surfaces spécifiques. En annonçant 15 programmes, Microsoft souligne la diversité des canaux par lesquels les vulnérabilités peuvent être signalées.
Le résultat chiffré—2 531 rapports éligibles—donne une idée de la qualité des soumissions reçues. Cette donnée est importante car elle correspond à la partie des signalements qui franchit les étapes de validation internes pour ouvrir droit à une récompense.
En parallèle, la présence de chercheurs dans 64 pays illustre un engagement international, cohérent avec la logique des programmes de bug bounty Microsoft : canaliser la recherche indépendante vers des correctifs concrets.
Concours et initiatives : 2,3 millions et 800 000 dollars
Le total communiqué n’est pas uniquement lié aux rapports standard. Microsoft précise que la somme inclut 2,3 millions de dollars attribués à des participants lors du concours Zero Day Quest. Autrement dit, une partie des récompenses provient d’un cadre plus compétitif, conçu pour accélérer l’identification de vulnérabilités.
L’entreprise mentionne également 800 000 dollars payés via de nouvelles initiatives. Ces initiatives ciblent notamment des failles liées au code de tiers et au code open source. Ce point est notable : il indique une attention accrue portée aux composants utilisés dans les écosystèmes logiciels, en plus des éléments strictement contrôlés par le fournisseur.
Plus de soumissions au second semestre
Microsoft observe une hausse significative du volume de soumissions durant la seconde moitié de l’année couverte. L’entreprise associe cette progression à deux facteurs principaux : d’une part, un engagement solide de la communauté de recherche ; d’autre part, l’usage croissant de l’IA pour soutenir les activités de recherche en sécurité.
Cette explication met en lumière un changement de dynamique. Les outils d’assistance—sans présumer de leur efficacité sur chaque cas—peuvent réduire le temps de tri, aider à la reproduction d’un bug ou faciliter l’exploration de surfaces d’attaque.
Comparaison avec les années précédentes
Pour contextualiser les chiffres, Microsoft compare ses résultats à d’autres périodes. L’entreprise indique avoir versé environ 17 millions de dollars en 2024 et 2025.
Elle précise aussi qu’entre 2020 et 2023, le montant annuel se situait autour de 13 millions de dollars. Ainsi, la période la plus récente présentée—avec plus de 20 millions—s’inscrit dans une trajectoire ascendante.
Dit autrement : même si les programmes peuvent évoluer, la tendance globale observée par Microsoft va dans le sens d’une activité accrue et de paiements plus élevés, soutenus par davantage de rapports jugés éligibles.
Des chercheurs contestent la gestion de certains signalements
Malgré des chiffres encourageants, l’initiative n’est pas unanimement appréciée. Microsoft mentionne des résultats, mais un chercheur—utilisant les pseudonymes Chaotic Eclipse et Nightmare Eclipse—a publié des détails concernant plusieurs zero-days sans, selon lui, avoir obtenu l’opportunité de permettre à l’entreprise de corriger avant la divulgation.
Le chercheur affirme que certains défauts auraient ensuite été exploités dans la nature (c’est-à-dire en dehors d’un cadre de test). Il dit aussi être très insatisfait de la manière dont Microsoft aurait traité ses rapports.
Parmi les griefs évoqués figurent : une mauvaise gestion présumée des vulnérabilités signalées, l’ignorance des communications, un retrait ou blocage lié aux paiements de bug bounty, la suppression du compte du chercheur chargé de la déclaration, ainsi qu’une rupture d’un accord antérieur.
Ce que ces chiffres disent (et ne disent pas)
Les montants distribués et le nombre de rapports éligibles constituent un indicateur utile de l’ampleur du programme. Pour autant, ces chiffres ne donnent pas, à eux seuls, une image complète de l’expérience individuelle des chercheurs ni de la qualité de la communication sur chaque cas.
La présence d’allégations publiques rappelle que la relation entre les équipes de sécurité et les chercheurs repose aussi sur des procédures : délais de traitement, canaux de contact, suivi, et cohérence des décisions. Dans un environnement où des vulnérabilités peuvent être critiques, la précision de ces étapes compte autant que le montant global versé.
Pourquoi le bug bounty Microsoft reste stratégique
Les programmes de récompense jouent un rôle de passerelle entre la découverte de failles et leur correction. Quand le volume de soumissions augmente, cela peut indiquer que davantage de chercheurs s’orientent vers des canaux structurés, plutôt que vers des divulgations incontrôlées.
En parallèle, le fait que Microsoft inclue des initiatives visant le code de tiers et l’open source montre que la chasse aux vulnérabilités s’élargit. Dans la pratique, de nombreux risques modernes proviennent de dépendances, de bibliothèques et de composants réutilisés.
Enfin, l’évocation de l’IA—en tant que soutien à la recherche—suggère que les méthodes de découverte évoluent. Les bug bounty Microsoft doivent donc accompagner ces changements, tant sur le plan opérationnel que sur la communication avec la communauté.
Conclusion
Sur la période du 1er juillet 2025 au 30 juin 2026, Microsoft affirme avoir versé plus de 20 millions de dollars dans le cadre de ses programmes de bug bounty Microsoft. L’entreprise cite 2 531 rapports éligibles, 562 chercheurs récompensés et un paiement maximal de 200 000 dollars, ainsi qu’une hausse des soumissions au second semestre.
Les résultats témoignent d’une activité croissante et de mécanismes variés (dont Zero Day Quest et des initiatives orientées vers l’open source). Dans le même temps, des critiques publiques autour de certains signalements rappellent que la qualité du processus et la communication restent des enjeux essentiels, pour garantir des divulgations responsables et une correction rapide.
Source: https://www.securityweek.com/microsoft-bug-bounty-program-20-million-paid-to-500-researchers/
