Pwn2Own Ireland 2026: Google Pixel 10 e Samsung Galaxy S26 foram hackeados

Na competição Pwn2Own Ireland 2026, realizada em Dublin, pesquisadores conseguiram comprometer o Google Pixel 10 e o Samsung Galaxy S26. O evento ocorreu em 16 de outubro de 2026 e contou com 29 equipes de 7 categorias diferentes. As equipes atacaram dispositivos com as versões mais recentes de firmware e todos os patches disponíveis.

Os alvos incluíram smartphones, infraestrutura de IA, ferramentas de programação de IA, mensageiros, dispositivos de casa inteligente, impressoras e equipamentos de monitoramento de saúde. Entre os smartphones, o Google Pixel 10 e o Samsung Galaxy S26 foram os mais visados.

A primeira equipe a comprometer o Pixel 10 foi a Xint, liderada por Tim Becker e Yves Bieri. Eles usaram uma vulnerabilidade já conhecida pelos organizadores e receberam 150 000 dólares e 15 pontos Master of Pwn.

Em seguida, a Ikotas Labs explorou uma cadeia de bugs para hackear o Pixel 10, garantindo a maior premiação da competição: 300 000 dólares e 30 pontos Master of Pwn.

A terceira equipe a comprometer o Pixel 10 foi a CENSUS Labs, composta por Dimitrios Valsamaras, Ken Gannon e Tenia Valsamara. Eles utilizaram duas vulnerabilidades, sendo uma desconhecida anteriormente, e obtiveram 112 500 dólares e 22,5 pontos Master of Pwn.

Somando os prêmios, os ataques ao Pixel 10 totalizaram 562 500 dólares.

O Samsung Galaxy S26 também foi alvo frequente, sendo hackeado em todas as sete tentativas previstas. Parte das vulnerabilidades usadas já era conhecida pelo fabricante, mas permanecia sem correção na data do evento.

Além dos smartphones, os pesquisadores demonstraram exploração de IA em produtos como OpenAI Codex, Oracle Autonomous AI Database, impressoras Lexmark, Canon e Brother, além de dispositivos Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green e Garmin Index BPM.

A equipe vencedora foi a Ikotas Labs, que recebeu 361 000 dólares e 42,5 pontos Master of Pwn. Em segundo lugar ficou a Xint com 240 000 dólares, e em terceiro a Team ZyGoat com 125 000 dólares.

No total, 51 das 63 tentativas de invasão foram concluídas com sucesso ao longo dos três dias de competição. Embora o iPhone 17 estivesse presente com premiação de 300 000 dólares, nenhum grupo conseguiu comprometer o dispositivo.

Os fabricantes terão 90 dias para lançar patches. Após esse período, a Trend Micro Zero Day Initiative divulgará publicamente os detalhes de todas as vulnerabilidades apresentadas.

Em comparação com o Pwn2Own Ireland 2025, os pesquisadores demonstraram 73 vulnerabilidades de zero dia e arrecadaram 1 024 750 dólares.