Sicherheitsforscher demonstrierten am Eröffnungstag von Pwn2Own Ireland 2026 32 Zero-Day-Schwachstellen und verdienten zusammen 388.500 US-Dollar. Erfolgreiche Demonstrationen richteten sich gegen Smartphones, KI-Systeme, Drucker und Smart-Home-Geräte.
Die Ergebnisse zeigen, wie Sicherheitslücken sowohl alltägliche vernetzte Geräte als auch neuere KI-Plattformen betreffen können. Einige Demonstrationen umfassten jedoch Fehler, die den Anbietern bereits bekannt waren, sodass nicht jede ausgenutzte Schwachstelle als neue Entdeckung eingestuft wurde.
Galaxy S26 zieht mehrere Forschungsteams an
Samsungs Galaxy S26 spielte bei den Smartphone-Herausforderungen des ersten Tages eine wichtige Rolle.
Interrupt Labs, Ikotas Labs und der Viettel-Cyber-Security-Forscher Nguyen Thanh Dat demonstrierten Angriffe auf das Flaggschiffgerät. Die Organisatoren identifizierten jedoch bei einigen Versuchen bereits bekannte Schwachstellen.
Unterdessen nahmen die White-Noise-Club-Forscher Mikhail Evdokimov, Polina Smirnova und Mate Zombor Googles Pixel 10 ins Visier. Ihr Exploit war innerhalb der für den Wettbewerb vorgesehenen Zeit nicht erfolgreich.
Dieses Ergebnis spiegelt die zeitlich begrenzte Demonstration wider und belegt nicht, dass das Gerät keine Schwachstellen aufweist.
VinSOC führt nach zwei erfolgreichen Exploit-Ketten
Die VinSOC-Forscher Vũ Chí Thành und Huỳnh Đức Tin beendeten den Eröffnungstag an der Spitze der Rangliste.
Das Duo verdiente 40.000 US-Dollar, indem es sieben Zero-Day-Schwachstellen kombinierte, um einen Philips Hue Bridge Pro Smart-Lighting-Hub zu kompromittieren.
Anschließend erhielten sie weitere 40.000 US-Dollar für einen separaten Angriff auf Oracle Autonomous AI Database. Bei dieser Demonstration kam eine Kette aus fünf Zero-Day-Schwachstellen zum Einsatz.
Zusammen brachten die beiden erfolgreichen Versuche den Forschern 80.000 US-Dollar ein und verdeutlichten die Rolle mehrstufiger Angriffe im Wettbewerb.
KI-Plattformen gehören neben Druckern und Smart Speakern zu den Zielen
Am ersten Tag von Pwn2Own Ireland 2026 gab es auch erfolgreiche Demonstrationen gegen KI-Infrastruktur und Coding-Tools.
Forscher nutzten Schwachstellen in LiteLLM aus und demonstrierten einen Angriff auf OpenAIs cloudbasierten Codex-Coding-Agenten mithilfe einer einzigen Schwachstelle zur Argument-Injection.
An anderer Stelle kompromittierten Teilnehmer die Multifunktionsdrucker Lexmark CX532adwe und Canon imageFORCE 1643F. Angriffe auf den Smart Speaker Sonos Era 300 umfassten ebenfalls vier Schwachstellen.
Diese Demonstrationen fanden im Rahmen des Wettbewerbs statt. Sie belegen nicht, dass Angreifer dieselben Schwachstellen gegen Nutzer außerhalb der Veranstaltung ausnutzen.
Sieben Kategorien erweitern den Umfang des Wettbewerbs
Der diesjährige Wettbewerb umfasst Mobiltelefone, Drucker, Smart-Home-Geräte, Messaging-Anwendungen, KI-Infrastruktur und KI-Coding-Anwendungen.
Darüber hinaus führten die Organisatoren eine Wellness-Kategorie ein, die sich auf Geräte aus dem Gesundheitsbereich konzentriert. Zum Smartphone-Angebot gehören Apples iPhone 17, Samsungs Galaxy S26 und Googles Pixel 10.
Weitere für den 7. und 8. Oktober geplante Versuche umfassen Smartphones von Samsung und Google sowie KI-Infrastruktur, Drucker und Smart-Home-Produkte. Am zweiten Tag gehören auch Geräte aus der Wellness-Kategorie zu den Zielen.
Anbieter erhalten Zeit für die Entwicklung von Fehlerbehebungen
Die Zero Day Initiative organisiert Pwn2Own, um Schwachstellen aufzudecken und sie den Anbietern zu melden, bevor Kriminelle sie ausnutzen können.
Nach einer erfolgreichen Demonstration haben die Anbieter 90 Tage Zeit, Sicherheitsupdates zu veröffentlichen, bevor ZDI die Ergebnisse öffentlich bekannt gibt.
Zum Vergleich: Bei der vorherigen Pwn2Own-Ireland-Veranstaltung wurden 1.024.750 US-Dollar für 73 Zero-Day-Schwachstellen vergeben. Summoning Team verdiente 187.500 US-Dollar nach erfolgreichen Angriffen auf mehrere Produkte, darunter Samsungs Galaxy S25 und mehrere mit dem Netzwerk verbundene Geräte.
Die Gesamtsumme des Eröffnungstages stellt lediglich die erste Phase des diesjährigen Wettbewerbs dar, weitere Demonstrationen sind noch geplant.
0 Kommentare zu „Pwn2Own Ireland 2026 startet mit 32 Zero-Day-Schwachstellen und 388.500 US-Dollar Preisgeld“