Samsung Galaxy S26 dreimal erneut erfolgreich bei Pwn2Own gehackt

Drei weitere Hacks des Samsung Galaxy S26 wurden am zweiten Tag der Pwn2Own Ireland 2026 demonstriert. Im Laufe des Wettbewerbstages verdienten die Sicherheitsforscher 232.500 US-Dollar, nachdem sie 45 einzigartige Zero-Day-Schwachstellen in verschiedenen Produkten ausgenutzt hatten.

Die erfolgreichen Demonstrationen gegen das Smartphone wurden von Kyeongmin Kim vom KAIST Hacking Lab, PetoWorks sowie einem Team bestehend aus Dimitrios Valsamaras, Ken Gannon und Tenia Valsamara von CENSUS Labs durchgeführt.

Dabei handelte es sich um kontrollierte Sicherheitsdemonstrationen im Rahmen des Wettbewerbs und nicht um Berichte über Angriffe auf Galaxy-Nutzer.

Galaxy S26 wird wiederholt erfolgreich angegriffen

Die jüngsten Hacks des Samsung Galaxy S26 folgten auf drei erfolgreiche Demonstrationen gegen dasselbe Modell am Eröffnungstag.

An den früheren Versuchen waren Interrupt Labs, Ikotas Labs und Nguyen Thanh Dat von Viettel Cyber Security beteiligt. Allerdings waren Samsung einige der bei diesen Demonstrationen ausgenutzten Schwachstellen bereits bekannt.

Unterdessen zog Kyeongmin Kim einen geplanten USB-basierten Angriff auf das Google Pixel 10 noch vor Beginn des zweiten Wettbewerbstages zurück.

Das Programm für den dritten Wettbewerbstag sieht weitere Angriffsversuche gegen das Galaxy S26 und das Pixel 10 sowie gegen Produkte aus anderen Gerätekategorien vor.

Forscher kompromittieren auch KI-Produkte und Smart-Home-Geräte

Neben Smartphones demonstrierten die Teilnehmer erfolgreiche Angriffe auf vernetzte Haushaltsgeräte und KI-Infrastruktur.

Jack Dates von RET2 Systems demonstrierte in weniger als einer Minute eine Exploit-Kette gegen den Sonos Era 300. Gleichzeitig verdiente HaeJung Yang vom Team Out of Bounds 40.000 US-Dollar für die Kompromittierung von Dynamo in der Kategorie KI-Infrastruktur.

Auch Home Assistant Green war Ziel mehrerer erfolgreicher Angriffsversuche. Zu den Teilnehmern gehörten PetoWorks, Yves Bieri von Xint, Kyeongmin Kim, \_McCaulay sowie die Doyensec-Forscher Yassine Bengana und Maxence Schmitt.

Darüber hinaus kompromittierte Ikotas Labs die Oracle Autonomous AI Database durch eine Angriffskette, die sieben Zero-Day-Schwachstellen umfasste.

Diese Ergebnisse verdeutlichen die Bandbreite der untersuchten Produkte, von Smart-Home-Zentralen bis hin zu KI-Systemen für Unternehmen.

Wettbewerb testet Geräte mit den neuesten Updates

Trend Micros Zero Day Initiative organisiert Pwn2Own, um Schwachstellen aufzudecken, bevor Kriminelle sie ausnutzen.

Gemäß den Wettbewerbsregeln verwenden die Zielgeräte die neueste verfügbare Firmware. Die Teilnehmer müssen ihr ausgewähltes Ziel kompromittieren und die Ausführung beliebigen Codes demonstrieren.

Nach der Meldung der Schwachstellen im Rahmen der Veranstaltung erhalten die Hersteller 90 Tage Zeit, um Sicherheitsupdates zu entwickeln, bevor ZDI die technischen Details veröffentlicht.

Der diesjährige Wettbewerb umfasst sieben Kategorien: Mobiltelefone, Messaging-Anwendungen, Smart-Home-Geräte, Drucker, KI-Infrastruktur, KI-Coding-Anwendungen sowie Gesundheits- und Wellnessgeräte.

Auch Apples iPhone 17 stand als Angriffsziel zur Verfügung. Für eine erfolgreiche Kompromittierung aus der Ferne war eine maximale Prämie von 300.000 US-Dollar ausgeschrieben. Allerdings meldete sich kein Teilnehmer für einen Angriffsversuch gegen das Gerät an.

Ergebnisse des Eröffnungstages umfassten zwei umfangreiche Exploit-Ketten

Die VinSOC-Forscher Vũ Chí Thành und Huỳnh Đức Tin führten die Rangliste nach dem ersten Wettbewerbstag an.

Sie verdienten 40.000 US-Dollar, indem sie fünf Zero-Day-Schwachstellen zu einer Angriffskette gegen die Oracle Autonomous AI Database kombinierten. Weitere 40.000 US-Dollar erhielten sie für eine Angriffskette mit sieben Schwachstellen, die auf die Philips Hue Bridge Pro abzielte.

Am dritten Wettbewerbstag stehen neben den geplanten Smartphone-Demonstrationen weitere Angriffsversuche gegen Smart-Home-Produkte, KI-Infrastruktur und Drucker auf dem Programm.

Zum Vergleich: Bei Pwn2Own Ireland 2025 wurden insgesamt 1.024.750 US-Dollar für 73 Zero-Day-Schwachstellen vergeben. Summoning Team gewann den Wettbewerb und erhielt 187.500 US-Dollar durch erfolgreiche Angriffe auf Produkte von Samsung, Home Assistant, QNAP und Synology.