Sikkerhetsforskere tjente 1 262 000 dollar under Pwn2Own Ireland 2026 etter å ha demonstrert 98 nulldagssårbarheter i løpet av tre dager. Konkurransen testet smarttelefoner, KI-produkter og annen tilkoblet teknologi gjennom kontrollerte hackingforsøk.
Ikotas Labs endte på førsteplass med 42,5 Master of Pwn-poeng og 361 000 dollar i premiepenger. Teamets vellykkede demonstrasjoner omfattet Samsung Galaxy S26, OpenAI Codex, Oracle Autonomous AI Database og Google Pixel 10.
Disse demonstrasjonene fant sted i henhold til konkurransereglene. De viser ikke at angripere utnytter de samme sårbarhetene mot brukere.
Ikotas Labs vinner med et omfattende Pixel 10-angrep
Vinnerlaget sikret seg konkurransens største enkeltutbetaling på den siste dagen. Ved å kombinere flere nulldagssårbarheter klarte Ikotas Labs å kompromittere Google Pixel 10 og tjente 300 000 dollar.
Samtidig kom Xint på andreplass med 240 000 dollar og 27,5 Master of Pwn-poeng. Team ZyGoat endte på tredjeplass, også med 27,5 poeng, og mottok 125 000 dollar.
Pixel 10 sto sentralt under den siste runden, der forskere klarte å kompromittere enheten tre ganger.
Deltakerne oppnådde også root-tilgang til Galaxy S26 igjen, noe som forlenget en rekke vellykkede demonstrasjoner mot Samsungs flaggskipmodell.
Smarttelefonangrep demonstreres gjennom alle tre dagene
På åpningsdagen lyktes Interrupt Labs, Ikotas Labs og Viettel Cyber Security-forskeren Nguyen Thanh Dat med å angripe Galaxy S26.
Samsung kjente imidlertid allerede til noen av sårbarhetene som ble brukt i disse forsøkene.
Den andre dagen kom ytterligere tre vellykkede demonstrasjoner mot Galaxy S26. Disse ble gjennomført av PetoWorks, Kyeongmin Kim fra KAIST Hacking Lab og et team bestående av Dimitrios Valsamaras, Ken Gannon og Tenia Valsamara fra CENSUS Labs.
På tvers av alle produktkategoriene var de daglige resultatene:
- Dag én: 32 nulldagssårbarheter og 388 500 dollar i premiepenger.
- Dag to: 45 unike nulldagssårbarheter og 232 500 dollar i premiepenger.
- Dag tre: 21 nulldagssårbarheter og 641 000 dollar i premiepenger.
Den siste dagen sto dermed for den største andelen av premiepengene, til tross for at færre sårbarheter ble demonstrert enn på noen av de to foregående dagene.
Forskere retter seg mot KI og tilkoblede enheter
Pwn2Own Ireland 2026 tiltrakk seg 29 forskerteam fordelt på sju kategorier.
I tillegg til mobiltelefoner omfattet målene KI-infrastruktur, KI-baserte kodeapplikasjoner, meldingsapper, smarthusprodukter og skrivere. En ny kategori omfattet også enheter for velvære og helsetjenester.
Apples iPhone 17 var tilgjengelig som mål, med en maksimal belønning på 300 000 dollar for en vellykket kompromittering via fjernangrep. Ingen deltakere meldte imidlertid på et forsøk.
At modellen ikke finnes i resultatene, skyldes derfor mangel på påmeldte forsøk, ikke et mislykket angrep eller bevis på at enheten ikke har sårbarheter.
Leverandører får tid til å utbedre rapporterte sårbarheter
Trend Micros Zero Day Initiative organiserer Pwn2Own for å avdekke sikkerhetssvakheter før ondsinnede aktører utnytter dem.
Konkurransereglene krever at målene kjører de nyeste tilgjengelige versjonene av fastvare eller programvare. Forskerne må også demonstrere en vellykket kompromittering og kjøring av vilkårlig kode.
Etter at sårbarhetene er rapportert, får leverandørene en frist på 90 dager til å utbedre dem før ZDI offentliggjør tekniske detaljer.
Denne prosessen gir produsenter og programvareutviklere tid til å forberede sikkerhetsoppdateringer samtidig som forskerne dokumenterer funnene sine.
Premiepenger og antall sårbarheter overgår fjoråret
Arrangementet i 2026 overgikk den forrige utgaven både når det gjelder totale premiepenger og antall demonstrerte nulldagssårbarheter.
Under Pwn2Own Ireland 2025 tjente forskere 1 024 750 dollar for 73 sårbarheter. Årets resultater innebærer ytterligere 237 250 dollar i utbetalinger og 25 flere sårbarheter.
Summoning Team vant konkurransen i 2025 med 187 500 dollar etter å ha kompromittert produkter som Galaxy S25, Home Assistant Green og flere nettverkslagringsenheter.
0 responses to “Pwn2Own Ireland 2026 deler ut 1,26 millioner dollar for 98 nulldagssårbarheter”