Samsung Galaxy S26 gehackt drie keer tijdens Pwn2Own Ireland 2026

Op de tweede dag van Pwn2Own Ireland 2026 hebben veiligheidsonderzoekers 232500 USD in contantenprijs ontvangen na het exploiteren van 45 unieke zero‑day kwetsbaarheden. Het hoogtepunt van de dag was de Samsung Galaxy S26, die drie keer werd gehackt door KAIST Hacking Lab’s Kyeongmin Kim, PetoWorks en een team bestaande uit Dimitrios Valsamaras, Ken Gannon en CENSUS Labs’ Tenia Valsamara. Jack Dates van RET2 Systems toonde een Sonos Era 300 exploit‑keten aan in minder dan een minuut, terwijl het Out of Bounds‑team van HaeJung Yang $40000 ontving voor het hacken van Dynamo in de AI Infrastructure‑categorie. PetoWorks, Yves Bieri van Xint, Kyeongmin Kim, _McCaulay en Doyensec’s Yassine Bengana en Maxence Schmitt exploiteerden ook de Home Assistant Green smart‑home hub, en Ikotas Labs breekt de Oracle Autonomous AI Database met een zeven‑stappen zero‑day exploit. Voor de tweede dag trok Kyeongmin Kim zich terug uit een poging tot een USB‑gebaseerde aanval op de Google Pixel 10. Trend Micro’s Zero Day Initiative (ZDI) organiseert de competitie om zero‑day fouten te ontdekken voordat ze door aanvallers worden misbruikt.

Volgens de Pwn2Own‑regels draaien alle apparaten op de nieuwste firmware en moeten deelnemers willekeurige code‑uitvoering aantonen. Na het exploiteren en openbaar maken van zero‑days krijgen leveranciers 90 dagen om een patch te leveren. Tijdens de competitie richten concurrenten zich op zeven categorieën, waaronder smartphones (Samsung Galaxy S26 en Google Pixel 10), boodschappapplicaties, smart‑home apparaten, printers, AI‑infrastructuur, AI‑coderingsapps en een nieuwe categorie voor wellness‑ en gezondheidsapparaten. Hoewel de iPhone 17 een mogelijke doelwit was met een prijs van $300000, registreerden geen deelnemers zich voor een poging. Op de eerste dag hackten Interrupt Labs, Ikotas Labs en Nguyen Thanh Dat van Viettel Cyber Security de Galaxy S26, waarbij sommige uitgebuiteerde bugs al aan de leverancier bekend waren. De teams Vu’ Ch’ Th’ Thành en Hu’ Duc Tin van VinSOC behaalden $40000 voor een vijf‑zero‑day exploit‑keten tegen de Oracle Autonomous AI Database en een extra $40000 voor het koppelen van zeven zero‑days om een Philips Hue Bridge Pro te exploiteren.