Sikkerhetsforskere demonstrerte 32 zero-day-sårbarheter på åpningsdagen av Pwn2Own Ireland 2026 og tjente til sammen 388 500 dollar. Vellykkede demonstrasjoner rettet seg mot smarttelefoner, AI-systemer, skrivere og smarthusutstyr.
Resultatene viser hvordan sikkerhetssvakheter kan påvirke både vanlige tilkoblede enheter og nyere AI-plattformer. Noen demonstrasjoner involverte imidlertid feil som allerede var kjent for leverandørene, noe som betyr at ikke alle de utnyttede sårbarhetene kvalifiserte som nye funn.
Galaxy S26 tiltrekker seg flere forskerteam
Samsungs Galaxy S26 sto sentralt i flere av den første dagens utfordringer for mobiltelefoner.
Interrupt Labs, Ikotas Labs og Viettel Cyber Security-forskeren Nguyen Thanh Dat demonstrerte angrep mot flaggskipenheten. Arrangørene identifiserte imidlertid tidligere kjente sårbarheter i noen av forsøkene.
Samtidig rettet White Noise Club-forskerne Mikhail Evdokimov, Polina Smirnova og Mate Zombor seg mot Googles Pixel 10. Utnyttelsen deres lyktes ikke innenfor tiden som var satt av til konkurransen.
Dette resultatet gjenspeiler den tidsbegrensede demonstrasjonen og fastslår ikke at enheten ikke har noen sårbarheter.
VinSOC leder etter to vellykkede exploit-kjeder
VinSOC-forskerne Vũ Chí Thành og Huỳnh Đức Tin avsluttet åpningsdagen på toppen av resultatlisten.
Paret tjente 40 000 dollar ved å kombinere sju zero-day-sårbarheter for å kompromittere en Philips Hue Bridge Pro-hub for smartbelysning.
Deretter mottok de ytterligere 40 000 dollar for et separat angrep mot Oracle Autonomous AI Database. Denne demonstrasjonen brukte en kjede av fem zero-day-sårbarheter.
Til sammen ga de to vellykkede forsøkene forskerne 80 000 dollar og fremhevet rollen flertrinnsangrep spiller i konkurransen.
AI-plattformer slutter seg til skrivere og smarthøyttalere som mål
Den første dagen av Pwn2Own Ireland 2026 inkluderte også vellykkede demonstrasjoner mot AI-infrastruktur og kodeverktøy.
Forskere utnyttet sårbarheter i LiteLLM og demonstrerte et angrep mot OpenAIs skybaserte kodeagent Codex ved hjelp av én enkelt sårbarhet for argumentinjeksjon.
Andre steder kompromitterte deltakerne multifunksjonsskriverne Lexmark CX532adwe og Canon imageFORCE 1643F. Angrep mot smarthøyttaleren Sonos Era 300 involverte også fire sårbarheter.
Disse demonstrasjonene fant sted innenfor konkurransen. De fastslår ikke at angripere utnytter de samme svakhetene mot brukere utenfor arrangementet.
Sju kategorier utvider konkurransens omfang
Årets konkurranse dekker mobiltelefoner, skrivere, smarthusenheter, meldingsapplikasjoner, AI-infrastruktur og AI-kodeapplikasjoner.
I tillegg introduserte arrangørene en velværekategori med fokus på helserelaterte enheter. Mobilutvalget inkluderer Apples iPhone 17, Samsungs Galaxy S26 og Googles Pixel 10.
Ytterligere forsøk planlagt for 7. og 8. oktober inkluderer telefoner fra Samsung og Google, sammen med AI-infrastruktur, skrivere og smarthusprodukter. Den andre dagen inkluderer også mål i velværekategorien.
Leverandører får tid til å utvikle rettelser
Zero Day Initiative organiserer Pwn2Own for å avdekke sårbarheter og rapportere dem til leverandører før kriminelle kan utnytte dem.
Etter en vellykket demonstrasjon har leverandørene 90 dager på seg til å utgi sikkerhetsoppdateringer før ZDI offentliggjør funnene.
Til sammenligning delte det forrige Pwn2Own Ireland-arrangementet ut 1 024 750 dollar for 73 zero-day-sårbarheter. Summoning Team tjente 187 500 dollar etter vellykkede angrep mot flere produkter, inkludert Samsungs Galaxy S25 og flere nettverkstilkoblede enheter.
Summen fra åpningsdagen representerer bare den første fasen av årets konkurranse, og flere demonstrasjoner er fortsatt planlagt.
0 responses to “Pwn2Own Ireland 2026 åpner med 32 zero-day-sårbarheter og 388 500 dollar i premier”