Pwn2Own Ireland 2026: 98 zero-day, Galaxy S26 și Pixel 10 sparte

Pwn2Own Ireland 2026, concursul de hacking organizat de Zero Day Initiative (ZDI) a Trend Micro, s-a încheiat la Cork pe 8 octombrie, după trei zile. Bilanțul: 98 de vulnerabilități zero-day demonstrate și 1.262.000 de dolari în premii. Printre țintele compromise se află smartphone-urile Samsung Galaxy S26 și Google Pixel 10, imprimante, dispozitive pentru casa inteligentă, componente de infrastructură IA și instrumente de programare asistată.

Nu este vorba de atacuri în desfășurare: vulnerabilitățile sunt comunicate producătorilor, iar detaliile tehnice nu sunt încă publice. Pentru cine se ocupă de securitate, însă, concursul este o listă anticipată a actualizărilor care vor sosi în lunile următoare.

Ce s-a întâmplat

Au participat 29 de echipe de cercetători, în șapte categorii: smartphone-uri (Galaxy S26 și Pixel 10), aplicații de mesagerie, dispozitive smart home, imprimante, infrastructură IA, aplicații de programare cu IA și o categorie nouă dedicată dispozitivelor de wellness și sănătate.

Potrivit BleepingComputer, concursul s-a desfășurat astfel:

• prima zi: 32 de zero-day și 388.500 de dolari în premii (Infosecurity Magazine vorbește de peste 368.000 de dolari);
• a doua zi: 45 de zero-day distincte și 232.500 de dolari;
• a treia zi: 21 de zero-day și 641.000 de dolari, cea mai mare sumă, datorită atacurilor asupra Pixel 10.

A câștigat Ikotas Labs, cu 42,5 puncte „Master of Pwn” și 361.000 de dolari, după ce a compromis Galaxy S26, OpenAI Codex, Oracle Autonomous AI Database și Pixel 10. Urmează Xint (240.000 de dolari, 27,5 puncte) și Team ZyGoat (125.000 de dolari, 27,5 puncte). La ediția din 2025 fuseseră demonstrate 73 de zero-day, pentru 1.024.750 de dolari.

Țintele și tehnicile demonstrate

Smartphone-uri. Galaxy S26 a fost compromis în toate cele trei zile: de trei ori în prima, de Interrupt Labs, Ikotas Labs și Nguyen Thanh Dat de la Viettel Cyber Security, deși unele dintre vulnerabilitățile folosite erau deja cunoscute de Samsung; încă de trei ori în a doua, de PetoWorks, Kyeongmin Kim de la KAIST Hacking Lab și echipa formată din Dimitrios Valsamaras, Ken Gannon și Tenia Valsamara de la CENSUS Labs; și din nou în a treia. Pixel 10 a căzut de trei ori, pentru peste 560.000 de dolari în total, potrivit SecurityWeek:

• Ikotas Labs a obținut premiul complet de 300.000 de dolari cu un lanț de mai multe vulnerabilități care a permis compromiterea telefonului de la distanță;
• Tim Becker și Yves Bieri au primit 150.000 de dolari: exploit-ul lor folosea și o vulnerabilitate deja cunoscută;
• Dimitrios Valsamaras și Ken Gannon au primit 112.500 de dolari pentru un lanț care combina un zero-day cu o vulnerabilitate deja cunoscută.

Nimeni nu s-a înscris pentru iPhone 17 și WhatsApp, ambele cu un premiu maxim de 300.000 de dolari.

IA și date. Potrivit Infosecurity Magazine, OpenAI Codex a fost compromis cu o singură vulnerabilitate de tip argument injection, iar pe LiteLLM un cercetător Xint a combinat o validare insuficientă a datelor de intrare cu o code injection pentru a obține un reverse shell. Oracle Autonomous AI Database a fost compromisă cu un lanț de cinci zero-day (VinSOC) în prima zi și cu unul de șapte (Ikotas Labs) în a doua. Au fost premiate și atacuri asupra framework-ului de inferență Nvidia Dynamo și a bazei de date vectoriale Chroma.

Casa inteligentă și biroul. Boxa inteligentă Sonos Era 300 a fost compromisă combinând o scriere în afara limitelor (out-of-bounds write) și o vulnerabilitate de tip format string; Philips Hue Bridge Pro, cu un lanț de șapte zero-day; hub-ul Home Assistant Green, de mai multe echipe. Dintre imprimante, Lexmark CX532adwe a căzut cu un singur use-after-free; au fost premiate și atacuri asupra imprimantelor Brother și a modelului Canon imageFORCE 1643F.

Sănătate. În noua categorie, tensiometrul Garmin Index BPM a fost compromis cu o citire și o scriere în afara limitelor.

Regulile: dispozitive actualizate și 90 de zile

Regulile Pwn2Own cer ca țintele să ruleze ultima versiune de firmware și software, iar concurenții să demonstreze execuția de cod arbitrar. Cu alte cuvinte, în momentul concursului, actualizarea nu era suficientă pentru a proteja aceste produse.

După concurs, producătorii primesc toate detaliile și au 90 de zile pentru a corecta vulnerabilitățile; apoi ZDI publică informațiile tehnice. Sursele nu raportează exploatări în atacuri reale și nici indicatori de compromitere: nu există un lanț de atac de mapat pe MITRE ATT&CK.

Impactul pentru companiile europene și italiene

Multe dintre produsele afectate sunt obișnuite în birouri: multifuncționale, telefoane de serviciu, sisteme de iluminat și boxe în sălile de ședință. Altele au intrat de curând în echipele de dezvoltare, cum ar fi gateway-urile pentru modele IA, bazele de date vectoriale și asistenții de programare. Pentru sănătate și pentru companiile care oferă angajaților programe de wellness, noua categorie dedicată dispozitivelor medicale este un semnal de luat în seamă.

Pentru entitățile NIS2, gestionarea vulnerabilităților și securitatea lanțului de aprovizionare fac parte din măsurile de gestionare a riscurilor cerute de directivă: să știi care dintre aceste produse sunt folosite este primul pas.

Ce faci acum

1. Fă inventarul: verifică dacă în companie există Galaxy S26, Pixel 10, imprimante Lexmark, Brother sau Canon din modelele menționate, Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green, Garmin Index BPM sau LiteLLM, Nvidia Dynamo, Chroma, OpenAI Codex și Oracle Autonomous AI Database.
2. Urmărește buletinele producătorilor în următoarele trei luni și pregătește o cale rapidă pentru instalarea actualizărilor, inclusiv pe telefoanele de serviciu, prin gestionarea centralizată a dispozitivelor mobile.
3. Separă imprimantele și dispozitivele smart home de rețeaua serverelor și a stațiilor de lucru și nu expune pe internet interfețele lor de administrare.
4. Nu expune fără autentificare gateway-urile IA, framework-urile de inferență și bazele de date vectoriale și acordă asistenților de programare doar permisiunile strict necesare.
5. Când vor fi publicate CVE-urile și avizele, acordă prioritate sistemelor expuse și celor critice.

Cum te ajută ARXDOME

ARX Watch găsește în rețea dispozitivele fără sondă, cum ar fi imprimantele și alte echipamente nedeclarate, și te avertizează când apare unul nou: este punctul de plecare pentru inventar. Când vulnerabilitățile vor avea un CVE, ARX Shield va afișa vulnerabilitățile deschise pe mașină și pe pachet, cu cele deja exploatate evidențiate, iar ARX Expose semnalează serviciile expuse pe internet cu vulnerabilități cunoscute.

Ultima actualizare: 9 octombrie 2026