Pwn2Own Ireland 2026: Pixel 10 cade în ultima zi, Galaxy S26 e spart de șapte ori, iar Ikotas Labs ia 300.000 $ și titlul Master of Pwn

Actualizare 9 octombrie 2026: am adăugat rezultatele din ultima zi a concursului. Pixel 10 a fost spart de trei echipe, Galaxy S26 a mai căzut o dată, iar Ikotas Labs a câștigat titlul Master of Pwn.

Concursul de hacking Pwn2Own Ireland 2026, desfășurat la Cork între 6 și 8 octombrie, s-a încheiat cu ambele telefoane de top sparte. Samsung Galaxy S26 a fost compromis de șapte ori în trei zile, iar Google Pixel 10, care rezistase în prima zi, a căzut pe 8 octombrie în fața a trei echipe diferite. Echipa japoneză Ikotas Labs a luat cel mai mare premiu din concurs, 300.000 de dolari pentru Pixel 10, și titlul de „Master of Pwn”. Doar în prima zi, cercetătorii au exploatat 32 de vulnerabilități necunoscute până atunci (zero-day), iar premiile totale au depășit 1,1 milioane de dolari.

Ce este Pwn2Own

Pwn2Own e organizat de Zero Day Initiative (ZDI), programul de recompense pentru vulnerabilități al Trend Micro. Cercetătorii primesc un interval de timp limitat ca să preia controlul asupra unui dispozitiv actualizat la zi, în fața arbitrilor. Dacă reușesc, primesc premiul în bani și puncte pentru titlul de „Master of Pwn”. Detaliile tehnice ajung direct la producători, care au 90 de zile să publice actualizări înainte ca vulnerabilitățile să fie făcute publice. Ediția din acest an a avut peste 60 de înscrieri, cu ținte din șase categorii: telefoane, casă inteligentă, infrastructură AI, imprimante, dispozitive medicale de uz casnic și agenți AI de programare.

Când o echipă exploatează o vulnerabilitate pe care producătorul o cunoștea deja sau pe care altă echipă a folosit-o înainte, ZDI o înregistrează drept „coliziune”: atacul reușește, dar premiul e mai mic.

Pixel 10 cade în ultima zi

Cele mai mari premii din concurs au fost pentru Google Pixel 10: până la 300.000 de dolari pentru un atac de la distanță. În prima zi, echipa White Noise Club nu a reușit să-și facă atacul să funcționeze în timpul alocat. În ultima zi, toate cele trei echipe programate au reușit:

Doar Ikotas Labs a primit premiul întreg. Celelalte două echipe au atins și ele ținta, dar cu premii reduse. Pentru Google, rezultatul înseamnă că un Pixel 10 actualizat la zi a fost atacat cu succes de la distanță de trei ori într-o singură zi. Toate vulnerabilitățile ajung acum la Google, care are 90 de zile să le repare.

Galaxy S26, spart de șapte ori

Cele mai multe echipe au folosit lanțuri de câte două până la patru vulnerabilități ca să preia controlul telefonului. Excepția e echipa CENSUS Labs, care a avut nevoie de o singură vulnerabilitate: o eroare de tip „confused deputy”, în care o componentă cu drepturi mari e păcălită să execute o acțiune în numele unui atacator. Premiile mici pentru Galaxy S26 reflectă coliziunile: o parte dintre vulnerabilități erau deja cunoscute de Samsung, deci unele pot fi deja reparate în actualizările lunare sau aflate în lucru.

Ikotas Labs, Master of Pwn

Premiul pentru Pixel 10 a dus echipa Ikotas Labs pe primul loc în clasamentul general. Pe parcursul celor trei zile, japonezii au spart Galaxy S26, agentul de programare OpenAI Codex, baza de date Oracle Autonomous AI Database și Pixel 10, strângând 361.000 de dolari și 42,5 puncte. Echipa Xint a strâns 240.000 de dolari și 27,5 puncte, după atacuri reușite pe Pixel 10, LiteLLM, Oracle Autonomous AI Database, Home Assistant Green și Philips Hue Bridge Pro.

Ce s-a mai spart: AI, boxe și imprimante

Tabelul cuprinde cele mai mari premii din afara categoriei de telefoane. Boxa Sonos Era 300 a adus cel mai mare premiu din această zonă: McCaulay Hudson a combinat o scriere în afara limitelor memoriei cu o eroare de formatare a textului ca s-o preia, pentru 50.000 de dolari. Echipa VinSOC a înlănțuit nu mai puțin de șapte vulnerabilități zero-day ca să spargă hubul Philips Hue Bridge Pro, iar concursul s-a încheiat cu un lanț și mai lung: șase vulnerabilități zero-day folosite de Team MAMMOTH împotriva Home Assistant Green.

Partea cea mai nouă a concursului e însă infrastructura AI: serverul LiteLLM, folosit de firme ca intermediar între aplicații și modele AI, baza de date Oracle Autonomous AI Database, platforma Dynamo și chiar OpenAI Codex, agentul de programare al OpenAI, au căzut fiecare pentru câte 40.000 de dolari. Imprimanta Brother MFC-L8970CDW, care rezistase în primele două zile, a fost spartă în ultima zi de echipa FuzzingLabs, cu o singură vulnerabilitate zero-day.

Bilanțul concursului

Prima zi a adus 388.500 de dolari pentru 32 de vulnerabilități zero-day unice, iar a doua încă 232.500 de dolari pentru 45, deci cel puțin 77 de vulnerabilități noi doar în primele două zile. Ultima zi a avut cele mai mari premii: doar cele trei atacuri pe Pixel 10 au adus 562.500 de dolari. În total, premiile au trecut de 1,1 milioane de dolari, peste ediția de anul trecut, încheiată cu 73 de vulnerabilități zero-day și 1.024.750 de dolari. Au existat și eșecuri: Pixel 10 și imprimanta Brother au rezistat la primele încercări, iar tensiometrul Garmin Index BPM a respins două dintre atacuri.

Ce înseamnă pentru tine

Dacă ai un Galaxy S26 sau un Pixel 10, nu ai motiv de panică: vulnerabilitățile ajung direct la Samsung și Google, nu la infractori, iar patch-urile vin prin actualizările de securitate obișnuite. Important e să le instalezi. Verifică data ultimului patch de securitate din Setări și activează actualizările automate. Dacă nu știi unde să cauți, ai pașii pentru fiecare producător în ghidul nostru cum verifici dacă telefonul tău mai primește actualizări de securitate. Același lucru e valabil pentru boxele, becurile și hubul de casă inteligentă: firmware-ul lor se actualizează rar, așa că merită activată actualizarea automată din aplicația producătorului.

Lecția mai largă e că lista țintelor se schimbă odată cu tehnologia. Pe lângă telefoane și imprimante, concursurile de hacking testează acum serverele și agenții AI pe care firmele îi conectează la datele lor. Mai multe despre cum te protejezi găsești în seria noastră Securitate Online.

Informațiile provin din blogul oficial Zero Day Initiative: programul complet al concursului (5 octombrie 2026) și rezultatele celor trei zile (6, 7 și 8 octombrie 2026), precum și din BleepingComputer, pentru bilanțul primelor două zile (7 și 8 octombrie 2026) și comparația cu ediția din 2025. ZDI nu a publicat premiul echipei CENSUS Labs pentru Galaxy S26 și niciun total oficial al concursului. Totalurile Ikotas Labs și Xint, suma premiilor pentru Pixel 10 și pragul de 1,1 milioane de dolari sunt calculate de redacție din rezultatele zilnice publicate de ZDI. Premiile sunt în dolari americani, moneda în care le acordă ZDI.