👾 Yet Another BugBounty Meetup 2026: как это было

17 июля мы вновь собрались на ежегодном митапе для сообщества багхантеров — и это было круто! Спасибо за ваши вопросы, горячие обсуждения и невероятную атмосферу 🔥

Мы поделились традиционными итогами программы «Охота за ошибками» за год, обсудили, как обнаружить XSS в уже всеми проверенной фиче и раскрутку RCE в одном из крупнейших сервисов. А чтобы мозг не закипел — играли в кикер и ловили падающие палочки.

Но главное — мы припасли для вас полезные факты из докладов спикеров.

📖 YNDX BugBounty Timeline. Ваня Чалыкин, ведущий инженер по информационной безопасности в Яндексе:

🟣 С 2025 по 2026 год количество входящих отчётов выросло на 17% (с 2290 до 2700)

🟣 Общая сумма выплат выросла на 40% (с 50 млн до 70 млн рублей)

🟣 Число активных багхантеров тоже растёт: за первые 8 месяцев 2026 года их стало 532 (в прошлом было 520)

🛡️ RCE в полной изоляции. Денис Тимошенко, Security Tech Lead в Яндекс 360:

🟣 Иногда фундаментальные фичи безопасности могут быть отключены вендором — не ленитесь проверить состояние сервиса, особенно если он «коробочный»

🟣 Бывает, что фикс может откатиться по тем или иным причинам — задумайтесь об автоматике, которая будет это перепроверять

🔍 Нетривиальные XSS: кто ищет, тот всегда найдёт. Алексей Черняков, инженер по информационной безопасности в Яндекс 360:

🟣 В разных сервисах одна и та же XSS-уязвимость может иметь разный импакт — в сервисе с чувствительными данными она будет гораздо опаснее

🟣 Большое количество санитайзеров не всегда делает лучше: они могут по-разному интерпретировать одни и те же входные данные. Из-за избыточного количества стыков между санитайзерами возникают уязвимости и опасные мутации данных

🟣 В старых сервисах баги находить сложнее (ведь их уже многие проверили), но неприступных платформ не бывает. Упорство и профессионализм приводят к успеху

📷 Ищите себя на фотографиях

💕 Мы были рады с вами увидеться и уже ждём следующей встречи!

Подписывайтесь:
💬 @Yandex4Security
📹 @YandexForSecurity