První den soutěže Pwn2Own Ireland 2026 bezpečnostní výzkumníci dvakrát prolomili Samsung Galaxy S26 a za zneužití 32 dosud neznámých (zero-day) zranitelností si odnesli 388 500 dolarů.
Soutěžící útočí na produkty v sedmi kategoriích. Patří mezi ně mobilní telefony (Apple iPhone 17, Samsung Galaxy S26 a Google Pixel 10), tiskárny, chytrá domácnost, komunikační aplikace, AI infrastruktura a AI aplikace pro programování. Novou kategorií jsou zdravotnická zařízení pro wellness.
Samsung, Philips Hue i Oracle pod palbou
Hlavním bodem prvního dne bylo prolomení vlajkové lodi Galaxy S26, o které se postaraly týmy Interrupt Labs, Ikotas Labs a Nguyen Thanh Dat ze společnosti Viettel Cyber Security. Některé chyby zneužité v těchto pokusech však výrobce už znal.
Vũ Chí Thành a Huỳnh Đức Tin z týmu VinSOC, kteří vedou průběžné pořadí, získali 40 000 dolarů za řetězení sedmi zero-day chyb, jímž ovládli chytrý řídicí hub osvětlení Philips Hue Bridge Pro. Dalších 40 000 dolarů si připsali za řetězec pěti zero-day chyb namířený proti databázi Oracle Autonomous AI Database.
Výzkumníci také předvedli zero-day chyby v LiteLLM a prolomili multifunkční tiskárny Lexmark CX532adwe a Canon imageFORCE 1643F. Jedinou chybou typu argument injection vyřadili cloudového AI agenta pro programování OpenAI Codex a pomocí čtyř zranitelností znovu ovládli chytrý reproduktor Sonos Era 300. Michail Evdokimov, Polina Smirnova a Mate Zombor z týmu White Noise Club se pokusili o Google Pixel 10, ale svůj exploit ve vymezeném čase nezprovoznili.
Co přinesou další dny
Soutěž pořádá Zero Day Initiative (ZDI), aby zero-day zranitelnosti v cílových zařízeních odhalila dřív, než je zneužijí útočníci. Po zneužití chyby na Pwn2Own mají výrobci 90 dní na vydání bezpečnostních aktualizací, poté je ZDI společnosti Trend Micro zveřejní.
Druhý den se soutěžící znovu zaměří na kategorie AI infrastruktury, tiskáren, chytré domácnosti a wellness a z mobilních telefonů na Samsung Galaxy S26 a Google Pixel 10. Třetí den se k oběma telefonům vrátí a doplní je řada zařízení chytré domácnosti, AI infrastruktury a tiskáren.
Na loňském ročníku Pwn2Own Ireland získali výzkumníci za 73 zero-day chyb celkem 1 024 750 dolarů. Tým Summoning Team si tehdy odnesl 187 500 dolarů za prolomení zařízení Samsung Galaxy S25, Synology DiskStation DS925+, Home Assistant Green, Synology ActiveProtect Appliance DP320, kamery Synology CC400W a NAS QNAP TS-453E.
Zdroj: bleepingcomputer.com
Zdroj: IT SECURITY NETWORK NEWS
