Pwn2Own Ireland 2026 vergibt 1,26 Millionen Dollar für 98 Zero-Day-Schwachstellen

Sicherheitsforscher verdienten 1.262.000 Dollar bei Pwn2Own Ireland 2026, nachdem sie innerhalb von drei Tagen 98 Zero-Day-Schwachstellen demonstriert hatten. Bei dem Wettbewerb wurden Smartphones, KI-Produkte und andere vernetzte Technologien durch kontrollierte Hacking-Versuche getestet.

Ikotas Labs belegte mit 42,5 Master-of-Pwn-Punkten und 361.000 Dollar Preisgeld den ersten Platz. Zu den erfolgreichen Demonstrationen des Teams gehörten Angriffe auf das Samsung Galaxy S26, OpenAI Codex, Oracle Autonomous AI Database und Google Pixel 10.

Diese Demonstrationen fanden unter den Regeln des Wettbewerbs statt. Sie belegen nicht, dass Angreifer dieselben Schwachstellen gegen Nutzer ausnutzen.

Ikotas Labs gewinnt mit umfangreichem Pixel-10-Exploit

Das Siegerteam sicherte sich am letzten Tag die höchste Einzelauszahlung des Wettbewerbs. Durch die Kombination mehrerer Zero-Day-Schwachstellen gelang es Ikotas Labs, das Google Pixel 10 zu kompromittieren und 300.000 Dollar zu verdienen.

Unterdessen belegte Xint mit 240.000 Dollar und 27,5 Master-of-Pwn-Punkten den zweiten Platz. Team ZyGoat landete ebenfalls mit 27,5 Punkten auf dem dritten Platz und erhielt 125.000 Dollar.

Das Pixel 10 stand während der letzten Runde besonders im Mittelpunkt. Forschern gelang es dreimal, das Gerät erfolgreich zu kompromittieren.

Die Teilnehmer erlangten außerdem erneut Root-Zugriff auf das Galaxy S26 und setzten damit eine Reihe erfolgreicher Demonstrationen gegen Samsungs Flaggschiffmodell fort.

Smartphone-Angriffe werden an allen drei Tagen demonstriert

Am ersten Tag gelang es Interrupt Labs, Ikotas Labs und dem Viettel-Cyber-Security-Forscher Nguyen Thanh Dat, das Galaxy S26 erfolgreich anzugreifen.

Samsung waren jedoch einige der bei diesen Versuchen verwendeten Schwachstellen bereits bekannt.

Am zweiten Tag folgten drei weitere erfolgreiche Demonstrationen gegen das Galaxy S26. Diese wurden von PetoWorks, Kyeongmin Kim vom KAIST Hacking Lab sowie einem Team aus Dimitrios Valsamaras, Ken Gannon und Tenia Valsamara von CENSUS Labs durchgeführt.

Über alle Produktkategorien hinweg ergaben sich folgende Tagesergebnisse:

• Tag eins: 32 Zero-Day-Schwachstellen und 388.500 Dollar Preisgeld.
• Tag zwei: 45 einzigartige Zero-Day-Schwachstellen und 232.500 Dollar Preisgeld.
• Tag drei: 21 Zero-Day-Schwachstellen und 641.000 Dollar Preisgeld.

Damit entfiel der größte Anteil des Preisgeldes auf den letzten Tag, obwohl dort weniger Schwachstellen demonstriert wurden als an jedem der beiden vorherigen Tage.

Forscher nehmen KI und vernetzte Geräte ins Visier

Pwn2Own Ireland 2026 zog 29 Forschungsteams an, die in sieben Kategorien antraten.

Neben Mobiltelefonen gehörten KI-Infrastruktur, KI-basierte Programmieranwendungen, Messaging-Apps, Smart-Home-Produkte und Drucker zu den Angriffszielen. Eine neue Kategorie umfasste außerdem Wellness- und Gesundheitsgeräte.

Apples iPhone 17 stand ebenfalls als Angriffsziel zur Verfügung. Für eine erfolgreiche Kompromittierung aus der Ferne war eine maximale Belohnung von 300.000 Dollar vorgesehen. Allerdings meldete kein Teilnehmer einen entsprechenden Versuch an.

Dass das Gerät in den Ergebnissen nicht auftaucht, liegt daher an fehlenden Anmeldungen und nicht an einem gescheiterten Angriff oder einem Beweis dafür, dass das Gerät keine Schwachstellen aufweist.

Hersteller erhalten Zeit zur Behebung gemeldeter Schwachstellen

Trend Micros Zero Day Initiative organisiert Pwn2Own, um Sicherheitslücken aufzudecken, bevor böswillige Akteure sie ausnutzen können.

Die Wettbewerbsregeln verlangen, dass die Zielgeräte mit den neuesten verfügbaren Firmware- oder Softwareversionen betrieben werden. Außerdem müssen die Forscher eine erfolgreiche Kompromittierung und die Ausführung beliebigen Codes demonstrieren.

Nach der Meldung der Schwachstellen erhalten die Hersteller eine Frist von 90 Tagen, um diese zu beheben, bevor ZDI die technischen Einzelheiten öffentlich bekannt gibt.

Dieser Prozess gibt Herstellern und Softwareentwicklern Zeit, Sicherheitskorrekturen vorzubereiten, während die Forscher ihre Erkenntnisse dokumentieren.

Preisgelder und Anzahl der Schwachstellen übertreffen das Vorjahr

Die Veranstaltung 2026 übertraf die vorherige Ausgabe sowohl beim gesamten Preisgeld als auch bei der Anzahl der demonstrierten Zero-Day-Schwachstellen.

Bei Pwn2Own Ireland 2025 verdienten Forscher 1.024.750 Dollar für 73 Schwachstellen. Die diesjährigen Ergebnisse entsprechen zusätzlichen Auszahlungen von 237.250 Dollar und 25 weiteren Schwachstellen.

Summoning Team gewann den Wettbewerb 2025 mit 187.500 Dollar, nachdem es Produkte wie das Galaxy S25, Home Assistant Green und mehrere Netzwerkspeichergeräte kompromittiert hatte.