Pwn2Own Ireland 2026: 32 уязвимости нулевого дня и 388 500 долларов за первый день

В ирландском конкурсе Pwn2Own 2026 стартовал первый день состязаний, и он принёс участникам 388 500 долларов за эксплуатацию 32 уязвимостей нулевого дня. Главным событием дня стал взлом флагманского смартфона Samsung Galaxy S26 — причём сразу дважды.

Участники атакуют устройства в семи категориях: смартфоны (Apple iPhone 17, Samsung Galaxy S26 и Google Pixel 10), принтеры, устройства «умного дома», мессенджеры, ИИ-инфраструктура, ИИ-инструменты для программирования, а также новая категория — медицинские и оздоровительные приборы.

Кто и что взломал

Samsung Galaxy S26 покорился командам Interrupt Labs, Ikotas Labs, а также Нгуену Тхань Дату из Viettel Cyber Security. Правда, часть использованных в каждой из атак ошибок уже была известна производителю.

Лидерами таблицы стали Ву Ти Тхань и Хюинь Дык Тин из VinSOC. Они получили 40 000 долларов за цепочку из семи уязвимостей, с помощью которой взяли под контроль концентратор «умного освещения» Philips Hue Bridge Pro, и ещё 40 000 — за цепочку из пяти уязвимостей, нацеленную на Oracle Autonomous AI Database.

Исследователи также продемонстрировали уязвимости в LiteLLM, взломали многофункциональные принтеры Lexmark CX532adwe и Canon imageFORCE 1643F, вывели из строя облачный ИИ-ассистент для написания кода OpenAI Codex с помощью единственной ошибки инъекции аргументов и снова скомпрометировали умную колонку Sonos Era 300, задействовав четыре уязвимости.

Команда White Noise Club (Михаил Евдокимов, Полина Смирнова и Мате Зомбор) попыталась взломать Google Pixel 10, но не уложилась в отведённое время.

Правила и контекст

Конкурс организует Zero Day Initiative (ZDI) компании Trend Micro, чтобы выявить уязвимости раньше злоумышленников. После демонстрации у производителей есть 90 дней на выпуск исправлений, прежде чем ZDI публично раскроет детали.

Впереди ещё два дня: участники вновь возьмутся за Galaxy S26 и Pixel 10, а также за устройства из категорий ИИ-инфраструктуры, принтеров, «умного дома» и оздоровительной техники.

Для сравнения: в прошлогоднем Pwn2Own Ireland исследователи заработали 1 024 750 долларов за 73 уязвимости нулевого дня.

Источник: Bleeping Computer