Pwn2Own Ireland 2026: 98 zero-day, caen Galaxy S26 y Pixel 10

El Pwn2Own Ireland 2026, el concurso de hacking organizado por la Zero Day Initiative (ZDI) de Trend Micro, terminó en Cork el 8 de octubre tras tres días. El balance: 98 vulnerabilidades de día cero demostradas y 1.262.000 dólares en premios. Entre los objetivos vulnerados están los smartphones Samsung Galaxy S26 y Google Pixel 10, impresoras, dispositivos para el hogar inteligente, componentes de infraestructuras de IA y herramientas de programación asistida.

No se trata de ataques en curso: las vulnerabilidades se comunican a los fabricantes y los detalles técnicos todavía no son públicos. Para quien gestiona la seguridad, sin embargo, el concurso es una lista anticipada de las actualizaciones que llegarán en los próximos meses.

Qué ha pasado

Participaron 29 equipos de investigadores en siete categorías: smartphones (Galaxy S26 y Pixel 10), apps de mensajería, dispositivos smart home, impresoras, infraestructuras de IA, apps de programación con IA y una nueva categoría dedicada a los dispositivos de bienestar y salud.

Según BleepingComputer, el concurso se desarrolló así:

• primer día: 32 zero-day y 388.500 dólares en premios (Infosecurity Magazine habla de más de 368.000 dólares);
• segundo día: 45 zero-day distintas y 232.500 dólares;
• tercer día: 21 zero-day y 641.000 dólares, la cifra más alta gracias a los ataques al Pixel 10.

Ganó Ikotas Labs, con 42,5 puntos “Master of Pwn” y 361.000 dólares, tras vulnerar Galaxy S26, OpenAI Codex, Oracle Autonomous AI Database y Pixel 10. Le siguen Xint (240.000 dólares, 27,5 puntos) y Team ZyGoat (125.000 dólares, 27,5 puntos). En la edición de 2025 se demostraron 73 zero-day, por 1.024.750 dólares.

Los objetivos y las técnicas demostradas

Smartphones. El Galaxy S26 fue vulnerado los tres días: tres veces el primero, por Interrupt Labs, Ikotas Labs y Nguyen Thanh Dat de Viettel Cyber Security, aunque algunos de los fallos utilizados ya los conocía Samsung; otras tres el segundo, por PetoWorks, Kyeongmin Kim del KAIST Hacking Lab y el equipo de Dimitrios Valsamaras, Ken Gannon y Tenia Valsamara de CENSUS Labs; y de nuevo el tercero. El Pixel 10 cayó tres veces, por más de 560.000 dólares en total, según SecurityWeek:

• Ikotas Labs obtuvo el premio completo de 300.000 dólares con una cadena de varias vulnerabilidades que le permitió vulnerar el teléfono en remoto;
• Tim Becker e Yves Bieri recibieron 150.000 dólares: su exploit aprovechaba también un fallo ya conocido;
• Dimitrios Valsamaras y Ken Gannon recibieron 112.500 dólares por una cadena que unía una zero-day con una vulnerabilidad ya conocida.

Nadie se inscribió para el iPhone 17 ni para WhatsApp, ambos con un premio máximo de 300.000 dólares.

IA y datos. Según Infosecurity Magazine, OpenAI Codex fue vulnerado con un único fallo de argument injection, mientras que en LiteLLM un investigador de Xint combinó una validación insuficiente de la entrada y una code injection para obtener una reverse shell. Oracle Autonomous AI Database fue vulnerado con una cadena de cinco zero-day (VinSOC) el primer día y con una de siete (Ikotas Labs) el segundo. También se premiaron ataques al framework de inferencia Nvidia Dynamo y a la base de datos vectorial Chroma.

Hogar inteligente y oficina. El altavoz inteligente Sonos Era 300 fue vulnerado combinando una escritura fuera de límites (out-of-bounds write) y un fallo de format string; el Philips Hue Bridge Pro, con una cadena de siete zero-day; el hub Home Assistant Green, por varios equipos. Entre las impresoras, la Lexmark CX532adwe cayó con un solo use-after-free; también se premiaron ataques a impresoras Brother y a la Canon imageFORCE 1643F.

Salud. En la nueva categoría, el tensiómetro Garmin Index BPM fue vulnerado con una lectura y una escritura fuera de límites.

Las reglas: dispositivos actualizados y 90 días

Las reglas del Pwn2Own exigen que los objetivos tengan firmware y software en su última versión y que los participantes demuestren la ejecución de código arbitrario. Es decir, en el momento del concurso, estar actualizado no bastaba para proteger estos productos.

Tras el concurso, los fabricantes reciben todos los detalles y tienen 90 días para corregir los fallos; después la ZDI publica la información técnica. Las fuentes no informan de explotación en ataques reales ni de indicadores de compromiso: no hay una cadena de ataque que mapear en MITRE ATT&CK.

Impacto para las empresas europeas e italianas

Muchos de los productos afectados son habituales en las oficinas: multifunción, teléfonos de empresa, sistemas de iluminación y altavoces en las salas de reuniones. Otros han llegado hace poco a los equipos de desarrollo, como las pasarelas para modelos de IA, las bases de datos vectoriales y los asistentes de programación. Para la sanidad y para quien ofrece programas de bienestar a sus empleados, la nueva categoría dedicada a los dispositivos de salud es una señal que no conviene ignorar.

Para las entidades sujetas a NIS2, la gestión de vulnerabilidades y la seguridad de la cadena de suministro forman parte de las medidas de gestión del riesgo que exige la directiva: saber cuáles de estos productos están en uso es el primer paso.

Qué hacer ya

1. Haz inventario: comprueba si en tu empresa hay Galaxy S26, Pixel 10, impresoras Lexmark, Brother o Canon de los modelos citados, Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green, Garmin Index BPM, o bien LiteLLM, Nvidia Dynamo, Chroma, OpenAI Codex y Oracle Autonomous AI Database.
2. Sigue los boletines de los fabricantes en los próximos tres meses y prepara una vía rápida para instalar las actualizaciones, incluidas las de los teléfonos de empresa mediante la gestión centralizada de dispositivos móviles.
3. Separa impresoras y dispositivos smart home de la red de servidores y puestos de trabajo, y no expongas en internet sus interfaces de gestión.
4. No expongas sin autenticación pasarelas de IA, frameworks de inferencia y bases de datos vectoriales, y da a los asistentes de programación solo los permisos imprescindibles.
5. Cuando se publiquen CVE y avisos, da prioridad a los sistemas expuestos y a los críticos.

Cómo ayuda ARXDOME

ARX Watch encuentra en la red los dispositivos sin sonda, como impresoras y otros equipos no declarados, y avisa cuando aparece uno nuevo: es el punto de partida del inventario. Cuando las vulnerabilidades tengan un CVE, ARX Shield mostrará las abiertas por máquina y por paquete, con las ya explotadas destacadas, mientras que ARX Expose señala los servicios expuestos en internet con vulnerabilidades conocidas.

Última actualización: 9 de octubre de 2026