Masz telefon Samsunga? To nie był najlepszy dzień jego zabezpieczeń

Pierwszy dzień wydarzenia Pwn2Own Ireland 2026 zakończył się wykryciem 32 luk zero day i nagrodami o łącznej wartości 388 500 dolarów. Badacze cyberbezpieczeństwa wzięli na celownik Galaxy S26, którego zabezpieczenia złamano dwukrotnie. Lepszy okazał się za to Pixel 10, w przypadku którego taka próba zakończyła się niepowodzeniem.

Tegoroczny Pwn2Own obejmuje siedem kategorii. Badacze próbują załamać zabezpieczenia iPhone'a 17, Galaxy S26 i Pixel 10, drukarki, urządzeń smart home, komunikatorów, infrastruktury AI oraz aplikacji AI do programowania. Nowością jest kategoria obejmująca urządzenia związane ze zdrowiem i wellness.

Galaxy S26 jednym z głównych celów

Pierwszego dnia zespoły Interrupt Labs i Ikotas Labs oraz Nguyen Thanh Dat z Viettel Cyber Security próbowały obejść zabezpieczenia Galaxy S26. Flagowiec Samsunga został skutecznie zhakowany dwukrotnie.

Pierwszy dzień wydarzenia Pwn2Own Ireland 2026 zakończył się wykryciem 32 luk zero day i nagrodami o łącznej wartości 388 500 dolarów.

Organizatorzy zaznaczają jednak, że część luk wykorzystanych w poszczególnych próbach była już wcześniej znana producentowi. Warto dodać, iż 32 to liczba wszystkich luk znalezionych w pierwszym dniu wydarzenia i nie obejmuje ona wyłącznie Galaxy S26, ale też innych urządzeń.

Kto na prowadzeniu

Na czele klasyfikacji znaleźli się Vũ Chí Thành i Huỳnh Đức Tin z VinSOC. Badacze otrzymali 40 tysięcy dolarów za połączenie siedmiu luk zero day pozwalających zaatakować inteligentny hub oświetleniowy Philips Hue Bridge Pro. Kolejne 40 tysięcy dolarów zdobyli za łańcuch pięciu nowych podatności wykorzystanych przeciwko Oracle Autonomous AI Database.

Badacze zaprezentowali również luki zero day w LiteLLM oraz przeprowadzili skuteczne ataki na wielofunkcyjne drukarki Lexmark CX532adwe i Canon imageFORCE 1643F. Cloudowy agent programistyczny OpenAI Codex został pokonany za pomocą pojedynczego błędu. Cztery podatności wykorzystano natomiast do ponownego przejęcia inteligentnego głośnika Sonos Era 300.

Mikhail Evdokimov, Polina Smirnova i Mate Zombor z White Noise Club próbowali złamać Google Pixel 10, ale nie zdołali uruchomić exploita w wyznaczonym czasie.

Co to za wydarzenie

Pwn2Own jest organizowany przez Zero Day Initiative należące do Trend Micro, aby podatności zostały znalezione przez badaczy, zanim wykorzystają je cyberprzestępcy. Po skutecznej prezentacji producent otrzymuje 90 dni na przygotowanie aktualizacji, zanim ZDI publicznie ujawni szczegóły luki.

Warto przypomnieć, iż w całym Pwn2Own Ireland 2025 przyznano nagrody w łącznej wysokości 1 024 750 dolarów za 73 luki zero day. Summoning Team zdobył wtedy 187 500 dolarów za ataki między innymi na Galaxy S25, Synology DiskStation DS925+, Home Assistant Green, Synology ActiveProtect Appliance DP320, kamerę Synology CC400W oraz QNAP TS 453E.

Tymczasem w tym roku pula nagród po pierwszym dniu wydarzenia wyniosła 388 500 dolarów.