Google Pixel 10 und Samsung Galaxy S26 bei Pwn2Own Ireland gehackt

orange and teal abstract wallpaper — Milad Fakurian / Unsplash

Die Smartphones Google Pixel 10 und Samsung Galaxy S26 wurden im Rahmen des Wettbewerbs Pwn2Own Ireland erfolgreich kompromittiert.

Insgesamt demonstrierten Sicherheitsforscher 98 Zero Day Sicherheitslücken und verdienten dabei eine Gesamtsumme von 1.262.000 US-Dollar. An dem Event nahmen 29 Teams teil, die Geräte und Software aus sieben Kategorien angriffen. Dazu gehörten Smartphones, KI-Infrastruktur, KI-Programmierwerkzeuge, Messenger, Smart Home Geräte, Drucker sowie Gesundheitsüberwachungsgeräte. Alle Zielgeräte mussten die neuesten Firmware-Versionen und verfügbaren Patches installiert haben.

Das Google Pixel 10 wurde an einem einzigen Tag von drei verschiedenen Teams gehackt, wobei alle Angriffe aus der Ferne und ohne physischen Zugriff erfolgten. Das Team Xint nutzte eine bereits bekannten Lücke und erhielt 150.000 US-Dollar. Ikotas Labs kombinierte mehrere Fehler zu einer Exploit-Kette und gewann den Maximalbetrag von 300.000 US-Dollar. Das Team CENSUS Labs nutzte zwei Sicherheitslücken, wovon eine zuvor unbekannt war, und verdiente 112.500 US-Dollar. Die Angriffe auf das Pixel 10 summierten sich auf insgesamt 562.500 US-Dollar.

Das Samsung Galaxy S26 wurde in allen sieben ursprünglich geplanten Versuchen erfolgreich gehackt. Ein Teil der genutzten Sicherheitslücken war dem Hersteller bereits bekannt, blieb jedoch zum Zeitpunkt des Wettbewerbs unbehoben.

Weitere Angriffe wurden auf den KI-Agenten OpenAI Codex, die Oracle Autonomous AI Database sowie Drucker von Lexmark, Canon und Brother demonstriert. Zudem wurden Geräte von Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green und Garmin Index BPM angegriffen. Ein iPhone 17 war ebenfalls als Ziel vorhanden, wurde jedoch von keinem Team angegriffen.

Insgesamt waren 51 von 63 geplanten Hack-Versuchen erfolgreich. Das Team Ikotas Labs belegte den ersten Platz mit einem Gewinn von 361.000 US-Dollar, gefolgt von Xint mit 240.000 US-Dollar und Team ZyGoat mit 125.000 US-Dollar. Die Hersteller haben nun 90 Tage Zeit, um Patches zu veröffentlichen, bevor die Trend Micro Zero Day Initiative die Details der Sicherheitslücken öffentlich macht.