Второй день Pwn2Own Ireland: Galaxy S26 взломали ещё трижды

На втором дне хакерского состязания Pwn2Own Ireland 2026 исследователи безопасности получили в общей сложности 232 500 долларов призовых, успешно реализовав 45 уникальных уязвимостей нулевого дня.

Главным событием дня стал смартфон Samsung Galaxy S26: флагман взломали трижды. Отличились Кёнмин Ким из KAIST Hacking Lab, команда PetoWorks, а также Димитриос Валсамарас и Кен Ганнон из Mobile Hacking Lab.

Колонки, умный дом и ИИ-инфраструктура

Джек Дейтс из RET2 Systems продемонстрировал цепочку эксплойтов против акустической системы Sonos Era 300 менее чем за минуту. ХэДжон Ян из команды Out of Bounds получил 40 000 долларов за взлом Dynamo в категории ИИ-инфраструктуры.

Несколько участников — PetoWorks, Ив Биери из Xint, Кёнмин Ким, _McCaulay, а также Ясин Бенгана и Максанс Шмитт из Doyensec — взломали хаб умного дома Home Assistant Green. Команда Ikotas Labs пробила защиту Oracle Autonomous AI Database, выстроив цепочку из семи уязвимостей нулевого дня.

Перед началом второго дня Кёнмин Ким отозвал свою заявку на атаку через USB, нацеленную на Google Pixel 10.

Правила и контекст

Состязание организует Zero Day Initiative (ZDI) компании Trend Micro, чтобы выявлять уязвимости в полностью обновлённых устройствах раньше, чем ими воспользуются злоумышленники. По правилам все устройства работают на последних версиях прошивок, а участники обязаны продемонстрировать выполнение произвольного кода. После раскрытия уязвимостей у производителей есть 90 дней на выпуск патчей.

Участники атакуют продукты в семи категориях: смартфоны (Galaxy S26 и Pixel 10), мессенджеры, устройства умного дома, принтеры, ИИ-инфраструктура, ИИ-приложения для написания кода, а также новая категория — медицинские устройства для здоровья. iPhone 17 от Apple тоже был в списке целей с максимальной наградой в 300 000 долларов за удалённый взлом, однако желающих попробовать не нашлось.

Напомним, что в первый день Galaxy S26 уже взламывали команды Interrupt Labs, Ikotas Labs и Нгуен Тхань Дат из Viettel Cyber Security, хотя часть использованных ошибок уже была известна производителю. Лидеры первого дня — Ву Ти Тхань и Хюинь Дык Тин из VinSOC — заработали 40 000 долларов за цепочку из пяти уязвимостей против Oracle Autonomous AI Database и ещё столько же за семизвенную атаку на хаб освещения Philips Hue Bridge Pro.

В третий день участников ждут новые попытки взлома устройств умного дома, ИИ-инфраструктуры, принтеров, а также смартфонов Galaxy S26 и Pixel 10. Для сравнения: на Pwn2Own Ireland 2025 было показано 73 уязвимости нулевого дня, а призовой фонд превысил миллион долларов.

Источник: Bleeping Computer