Hackers exploiteren 32 zero-days op eerste dag van Pwn2Own Ireland

a yellow door with a white handle on it — Xiangkun ZHU / Unsplash

Op de eerste dag van de Pwn2Own Ireland 2026 competitie hebben beveiligingsonderzoekers de Samsung Galaxy S26 twee keer gehackt en $388.500 verdiend na het exploiteren van 32 zero-days.

Het hoogtepunt van de eerste dag was Interrupt Labs, Ikotas Labs en Nguyen Thanh Dat van Viettel Cyber Security, die de vlaggenschip van Samsung, de Galaxy S26, hackten. Echter, sommige van de kwetsbaarheden die in elke uitdaging werden geëxploiteerd, waren al bekend bij de leverancier.

Vũ Chí Thành en Huỳnh Đức Tin van VinSOC, die de top van de ranglijst bereikten, wonnen $40.000 na het combineren van zeven zero-days om een Philips Hue Bridge Pro slimme verlichtingshub te exploiteren, plus nog eens $40.000 voor een keten van vijf zero-days die gericht was op de Oracle Autonomous AI Database.

Beveiligingsonderzoekers demonstreerden ook LiteLLM zero-days, hackten de Lexmark CX532adwe en Canon imageFORCE 1643F multifunctionele printers, namen de OpenAI Codex cloud-gebaseerde AI-coderingsagent offline met een enkele argument-injectiefout en exploiteerden vier kwetsbaarheden om opnieuw een Sonos Era 300 slimme luidspreker te compromitteren.

Mikhail Evdokimov, Polina Smirnova en Mate Zombor van White Noise Club richtten zich vandaag ook op de Google Pixel 10, maar konden hun exploit niet laten werken binnen de beschikbare tijd.

De Zero Day Initiative (ZDI) organiseert deze hackcompetitie om zero-day kwetsbaarheden in gerichte apparaten te identificeren voordat bedreigingsactoren ze kunnen exploiteren. Nadat kwetsbaarheden zijn geëxploiteerd tijdens Pwn2Own, hebben leveranciers 90 dagen om beveiligingsupdates uit te brengen voordat Trend Micro's ZDI ze openbaar maakt.