Sikkerhedsforskere demonstrerede 32 zero-day-sårbarheder på åbningsdagen af Pwn2Own Ireland 2026 og tjente tilsammen 388.500 dollars. Vellykkede demonstrationer målrettede smartphones, AI-systemer, printere og smart home-udstyr.
Resultaterne viser, hvordan sikkerhedssvagheder kan påvirke både almindelige forbundne enheder og nyere AI-platforme. Nogle demonstrationer involverede dog fejl, som allerede var kendt af leverandørerne, hvilket betyder, at ikke alle de udnyttede sårbarheder kvalificerede sig som nye opdagelser.
Galaxy S26 tiltrækker flere forskerhold
Samsungs Galaxy S26 spillede en fremtrædende rolle i den første dags udfordringer med mobiltelefoner.
Interrupt Labs, Ikotas Labs og Viettel Cyber Security-forskeren Nguyen Thanh Dat demonstrerede angreb mod flagskibsenheden. Arrangørerne identificerede dog tidligere kendte sårbarheder i nogle af forsøgene.
Samtidig målrettede White Noise Club-forskerne Mikhail Evdokimov, Polina Smirnova og Mate Zombor Googles Pixel 10. Deres exploit lykkedes ikke inden for den tid, der var afsat til konkurrencen.
Dette resultat afspejler den tidsbegrænsede demonstration og fastslår ikke, at enheden ikke har nogen sårbarheder.
VinSOC fører efter to vellykkede exploit-kæder
VinSOC-forskerne Vũ Chí Thành og Huỳnh Đức Tin sluttede åbningsdagen øverst på ranglisten.
Parret tjente 40.000 dollars ved at kombinere syv zero-day-sårbarheder for at kompromittere en Philips Hue Bridge Pro-hub til smart belysning.
Derefter modtog de yderligere 40.000 dollars for et separat angreb mod Oracle Autonomous AI Database. Denne demonstration brugte en kæde af fem zero-day-sårbarheder.
Tilsammen indbragte de to vellykkede forsøg forskerne 80.000 dollars og fremhævede den rolle, flertrinsangreb spiller i konkurrencen.
AI-platforme slutter sig til printere og smarthøjttalere som mål
Den første dag af Pwn2Own Ireland 2026 omfattede også vellykkede demonstrationer mod AI-infrastruktur og kodningsværktøjer.
Forskere udnyttede sårbarheder i LiteLLM og demonstrerede et angreb mod OpenAIs cloudbaserede Codex-kodningsagent ved hjælp af en enkelt sårbarhed til argumentinjektion.
Andre steder kompromitterede deltagere multifunktionsprinterne Lexmark CX532adwe og Canon imageFORCE 1643F. Angreb mod Sonos Era 300-smarthøjttaleren involverede også fire sårbarheder.
Disse demonstrationer fandt sted inden for konkurrencen. De fastslår ikke, at angribere udnytter de samme svagheder mod brugere uden for arrangementet.
Syv kategorier udvider konkurrencens omfang
Årets konkurrence omfatter mobiltelefoner, printere, smart home-enheder, beskedapplikationer, AI-infrastruktur og AI-kodningsapplikationer.
Derudover introducerede arrangørerne en wellness-kategori med fokus på sundhedsrelaterede enheder. Mobiludvalget omfatter Apples iPhone 17, Samsungs Galaxy S26 og Googles Pixel 10.
Yderligere forsøg, der er planlagt til den 7. og 8. oktober, omfatter telefoner fra Samsung og Google samt AI-infrastruktur, printere og smart home-produkter. Den anden dag omfatter også mål i wellness-kategorien.
Leverandører får tid til at udvikle rettelser
Zero Day Initiative organiserer Pwn2Own for at afdække sårbarheder og rapportere dem til leverandører, før kriminelle kan udnytte dem.
Efter en vellykket demonstration har leverandørerne 90 dage til at udgive sikkerhedsopdateringer, før ZDI offentliggør resultaterne.
Til sammenligning uddelte det tidligere Pwn2Own Ireland-arrangement 1.024.750 dollars for 73 zero-day-sårbarheder. Summoning Team tjente 187.500 dollars efter vellykkede angreb mod flere produkter, herunder Samsungs Galaxy S25 og flere netværksforbundne enheder.
Summen fra åbningsdagen repræsenterer kun den første fase af årets konkurrence, og yderligere demonstrationer er stadig planlagt.
0 svar til “Pwn2Own Ireland 2026 åbner med 32 zero-day-sårbarheder og 388.500 dollars i præmier”