Am zweiten Tag des Wettbewerbs Pwn2Own Ireland 2026 wurden 45 Zero-Day-Schwachstellen ausgenutzt, wodurch die Forscher Preisgelder in Höhe von 232.500 US-Dollar erhielten. Zu den Höhepunkten des Tages gehörte der dreimalige Hack des Samsung Galaxy S26 durch Kyeongmin Kim vom KAIST Hacking Lab, das Team PetoWorks sowie Dimitrios Valsamaras und Ken Gannon vom Mobile Hacking Lab.
Jack Dates von RET2 Systems präsentierte außerdem innerhalb von weniger als einer Minute eine Exploit-Kette für einen Angriff auf den Lautsprecher Sonos Era 300. Das Team Out of Bounds, vertreten durch HaeJung Yang, erhielt ein Preisgeld von 40.000 US-Dollar, nachdem es die Dynamo-Plattform in der Kategorie KI-Infrastruktur gehackt hatte.
Weitere Ziele wurden gehackt
PetoWorks und Yves Bieri von Xint, Kyeongmin Kim und McCaulay sowie Yassine Bengana und Maxence Schmitt von Doyensec konnten das Smart-Home-Gerät Home Assistant Green hacken. Das Team Ikotas Labs hackte außerdem die Oracle Autonomous AI Database mit einer aus sieben Zero-Day-Schwachstellen bestehenden Kette.
Vor Beginn der Veranstaltungen des Tages zog Kyeongmin Kim seinen Versuch zurück, das Google Pixel 10 mit einem USB-basierten Angriff ins Visier zu nehmen. Das Samsung Galaxy S26 und das Google Pixel 10 gehörten zu den Zielen der Kategorie Mobilgeräte. Kein Forscher meldete jedoch einen Versuch, das iPhone 17 anzugreifen, obwohl das Höchstpreisgeld für einen Angriff aus der Ferne auf 300.000 US-Dollar festgelegt war.
Warum ist diese Nachricht wichtig?
Pwn2Own-Tests werden auf Geräten durchgeführt, die mit den neuesten Firmware-Versionen laufen. Von den Teilnehmern wird verlangt, das Ziel zu hacken und die Fähigkeit zur Ausführung beliebigen Codes nachzuweisen. Die wiederholte Kompromittierung des Galaxy S26 ist daher nicht lediglich eine technische Demonstration, sondern zeigt, dass aktualisierte Geräte vor der Veröffentlichung von Fehlerbehebungen weiterhin für komplexe Exploit-Ketten anfällig sein können.
Trend Micro Zero Day Initiative veranstaltet den Wettbewerb mit dem Ziel, Schwachstellen zu entdecken, bevor sie bei tatsächlichen Angriffen ausgenutzt werden. Nach der Offenlegung der Schwachstellen im Rahmen des Wettbewerbs erhalten die Hersteller 90 Tage Zeit, Patches zu veröffentlichen, bevor die ZDI die Details öffentlich macht. Der Bericht gibt nicht an, ob Samsung Fehlerbehebungen für diese Schwachstellen veröffentlicht hat oder ob alle Exploits vollständig auf neuen Schwachstellen beruhten. Er wies darauf hin, dass einige der bei den Hacks am ersten Tag verwendeten Schwachstellen dem Unternehmen bereits bekannt waren.
Wettbewerbskontext
Die Ausgabe 2026 umfasst sieben Kategorien, darunter Mobilgeräte, Messaging-Anwendungen, Smart-Home-Geräte, Drucker, KI-Infrastruktur und Anwendungen zur KI-Programmierung sowie eine neue Kategorie für Geräte aus den Bereichen Gesundheitsversorgung und Wellness.
Am ersten Tag hackten die Teams Interrupt Labs und Ikotas Labs sowie Nguyen Thanh Dat von Viettel Cyber Security ebenfalls das Galaxy S26. Vũ Chí Thành und Huỳnh Đức Tin von VinSOC erhielten außerdem 40.000 US-Dollar für eine Kette aus fünf Zero-Day-Schwachstellen gegen die Oracle Autonomous AI Database sowie weitere 40.000 US-Dollar für eine Kette aus sieben Schwachstellen gegen die Philips Hue Bridge Pro. Am dritten Tag sollen die Hackversuche gegen Smart-Home-Geräte, KI-Plattformen und Drucker sowie gegen das Galaxy S26 und das Google Pixel 10 fortgesetzt werden.
Zum Vergleich: Beim Wettbewerb Pwn2Own Ireland 2025 wurden 73 Zero-Day-Schwachstellen präsentiert, und die Gesamtpreisgelder beliefen sich auf 1.024.750 US-Dollar.