보안 · 2026년 10월 11일
다른 언어로도 게시됨 Português (Brasil)
삼성 갤럭시 S26, Pwn2Own 아일랜드에서 3회 추가 해킹
2026년 10월 8일, Pwn2Own 아일랜드 대회 이틀째 보안 연구자들이 45개의 유니크한 제로데이 취약점을 악용해 현금 보상금 232,500 USD를 수령했습니다.
이날 가장 주목받은 사건은 삼성 갤럭시 S26가 KAIST 해킹 연구소의 김경민, PetoWorks, Dimitrios Valsamaras, Ken Gannon, Tenia Valsamara가 이끄는 CENSUS Labs 팀에 의해 3회 연속 해킹당한 점이었습니다.
Jack Dates가 RET2 Systems에서 Sonos Era 300 취약점을 1분 이내에 악용해 40,000 USD를 받았으며, Out of Bounds 팀의 HaeJung Yang도 AI 인프라 카테고리에서 Dynamo 해킹으로 동일한 금액을 획득했습니다.
PetoWorks, Yves Bieri, Kyeongmin Kim, _McCaulay, Doyensec의 Yassine Bengana, Maxence Schmitt이 Home Assistant Green 스마트 홈 허브를 해킹했고, Ikotas Labs이 Oracle 자율 AI 데이터베이스를 7단계 제로데이 체인으로 침투시켰습니다.
대회 시작 전 김경민은 Google Pixel 10에 대한 USB 기반 공격 시도를 포기했습니다.
Trend Micro의 Zero Day Initiative(ZDI)은 최신 펌웨어가 적용된 장치를 대상으로 제로데이를 사전에 발견해 악용 방지하는 대회를 주관합니다.
참가팀은 모바일 폰(Samsung Galaxy S26, Google Pixel 10), 메신저 앱, 스마트 홈 기기, 프린터, AI 인프라, AI 코딩 앱, 그리고 신설 웰니스 의료 기기 등 7개 카테고리 제품을 겨냥합니다.
Apple iPhone 17은 원격 해킹 시 최대 300,000 USD의 보상을 받을 수 있었으나, 신청자는 없었습니다.
1일 차에는 Interrupt Labs, Ikotas Labs, Nguyen Thanh Dat이 갤럭시 S26을 해킹했으나 일부 취약점은 이미 제조사에 알려진 상태였습니다.
VinSOC의 Vũ Chí Thành, Huỳnh Đức Tin은 Oracle 데이터베이스 5단계 체인으로 40,000 USD, Philips Hue Bridge Pro 7단계 체인으로 추가 40,000 USD를 수상했습니다.
3일 차에는 스마트 홈, AI 인프라, 프린터 기기 및 갤럭시 S26, Google Pixel 10을 다시 공격할 예정입니다.
2025년 Pwn2Own 대회에서는 73개의 제로데이를 시연해 1,024,750 USD를 획득했으며, Summoning 팀은 갤럭시 S25, Home Assistant Green, QNAP TS-453E NAS, Synology 장치를 해킹해 187,500 USD를 수령했습니다.