Microsoft ha implementado un nuevo sistema de evaluación en sus programas de recompensas por errores, donde la calidad de la evidencia presentada por los investigadores es determinante para el pago. En el programa de Azure, los informes sobre ejecución remota de código y escalada de privilegios podrán recibir $40,000 si se clasifican como "Completos", mientras que aquellos marcados como "No Completos" solo recibirán $4,000.

Microsoft ha introducido un nuevo sistema de evaluación de informes en sus programasy de recompensa por errores (bug bounty), haciendo que las pruebas que envíes como investigador de seguridad sean un factor clave en tus recompensas.

Bajo el programa de recompensas de Azure, los informes elegibles de ejecución remota de código crítica y escalada de privilegios pueden ganar 40.000 $ cuando sean evaluados como Completos, en comparación con los 4.000 $ cuando se marquen como No Completos.

El cambio se aplica a los informes enviados a partir del 20 de octubre de 2026, a las 8 AM hora del Pacífico. Los envíos anteriores siguen sujetos a los requisitos de calidad de informes previos.

Microsoft afirma que la actualización tiene como objetivo reducir las solicitudes de detalles faltantes y ayudar a sus equipos de seguridad a reproducir y evaluar las vulnerabilidades más rápido.

La cifra de 40.000 $ no es un pago estándar para cada vulnerabilidad de Azure. El Programa de Recompensas de Azure de Microsoft vincula los premios al impacto de seguridad, la severidad y la integridad del informe.

Microsoft ofrece 40.000 $ por informes completos de vulnerabilidades de Azure

Los informes críticos de divulgación de información conllevan premios generales de 12.000 $ cuando están completos y 1.200 $ cuando están incompletos. Los informes críticos de suplantación (spoofing) y manipulación califican para 8.000 $ u 800 $, respectivamente.

Los informes importantes de ejecución remota de código pueden recibir 30.000 $ cuando estén completos, frente a 3.000 $ cuando estén incompletos. El rango de premios publicados de Azure sigue siendo de 400 $ a 60.000 $, con recompensas adicionales posibles a discreción de Microsoft. Ciertos escenarios de alto impacto también conllevan incrementos porcentuales.

Un informe completo no califica automáticamente para el pago ni hace que una vulnerabilidad sea crítica. Microsoft evalúa la severidad y el impacto de seguridad por separado. Los envíos de Azure también deben cumplir las reglas del programa, incluyendo la demostración de un problema elegible en el servicio o producto más reciente y totalmente parcheado.

Microsoft espera pasos de reproducción claros, una prueba de concepto fiable, el tipo de vulnerabilidad y un análisis técnico preciso. Debes identificar el entorno afectado, las versiones relevantes, los requisitos del ataque y qué podría lograr un atacante. Deberías explicar la causa raíz siempre que sea posible.

La prueba clave es si un ingeniero que no esté familiarizado con el hallazgo puede reproducirlo y evaluarlo utilizando el envío inicial. Omitir un detalle requerido o un archivo de soporte puede resultar en una evaluación de No Completo, incluso si Microsoft solicita más información posteriormente.

Los requisitos de evidencia dependen de la vulnerabilidad. Los informes de corrupción de memoria pueden necesitar datos de cierre (crash data), pilas de llamadas (call stacks) y el código fuente de la prueba de concepto.

Los hallazgos de redirección de archivos pueden requerir registros de Process Monitor, mientras que los informes de coerción o relay de NTLM pueden necesitar capturas de paquetes. Los hallazgos de aplicaciones web pueden requerir vídeos y scripts.

Debes introducir los pasos de reproducción y los detalles técnicos directamente en los campos del Portal del Investigador de MSRC. Un documento adjunto no sustituye esas entradas. La guía de integridad de informes de Microsoft explica la evidencia requerida.

Microsoft dice que la investigación asistida por IA facilita el envío de hallazgos potenciales a escala. Recibien con agrado el uso de la IA, pero los informes aún deben contener un análisis preciso y evidencia que demuestre el problema.

Informes previos sobre fallos de suplantación de aplicaciones de Azure muestran por qué importa el bypass exacto. Los investigadores demostraron cómo caracteres Unicode invisibles podrían vencer las restricciones en nombres de aplicaciones reservados.

La cobertura de un fallo de autenticación de Microsoft también ilustra el vínculo entre la investigación, la divulgación y la remediación. Tras recibir el informe, Microsoft restringió el endpoint afectado y premió al investigador con 5.000 $.

Para ti como investigador, el cambio práctico es que la documentación ahora conlleva una consecuencia financiera clara. Un hallazgo válido necesita una demostración reproducible, afirmaciones técnicas respaldadas y los archivos requeridos desde el principio. Las pruebas deben mantenerse dentro de las reglas de Microsoft en lugar de exceder el acceso permitido simplemente para probar un mayor impacto.