Pwn2Own Ireland 2026 yarışmasının ikinci gününde 45 sıfırıncı gün açığından yararlanıldı ve araştırmacılar toplam 232.500 dolarlık nakit ödül kazandı. Günün öne çıkan olaylarından biri, KAIST Hacking Lab'den Kyeongmin Kim, PetoWorks ekibi ve Mobile Hacking Lab'den Dimitrios Valsamaras ile Ken Gannon tarafından Samsung Galaxy S26 telefonunun üç kez hacklenmesiydi.
RET2 Systems'ten Jack Dates ayrıca Sonos Era 300 hoparlöre yönelik bir saldırı için bir dakikadan kısa sürede kullanılabilecek bir istismar zinciri sergiledi. HaeJung Yang tarafından temsil edilen Out of Bounds ekibi, yapay zekâ altyapısı kategorisinde Dynamo platformunu hackledikten sonra 40.000 dolar ödül aldı.
Hacklenen diğer hedefler
PetoWorks ve Xint'ten Yves Bieri ile Kyeongmin Kim ve McCaulay'ın yanı sıra Doyensec'ten Yassine Bengana ve Maxence Schmitt, Home Assistant Green akıllı ev merkezini hacklemeyi başardı. Ikotas Labs ekibi de yedi sıfırıncı gün açığından oluşan bir zincir kullanarak Oracle Autonomous AI Database'e sızdı.
Günün etkinlikleri başlamadan önce Kyeongmin Kim, USB tabanlı bir saldırıyla Google Pixel 10'u hedefleme girişimini geri çekti. Samsung Galaxy S26 ve Google Pixel 10, mobil cihazlar kategorisinin hedefleri arasında yer alırken, uzaktan gerçekleştirilen bir saldırı için en yüksek ödül 300.000 dolar olarak belirlenmiş olmasına rağmen hiçbir araştırmacı iPhone 17'yi hedeflemeye yönelik girişimde bulunmadı.
Bu haber neden önemli?
Pwn2Own testleri, en yeni ürün yazılımı sürümlerini çalıştıran cihazlarda gerçekleştiriliyor ve katılımcıların hedefi hackleyerek rastgele kod çalıştırabildiklerini kanıtlamaları isteniyor. Bu nedenle Galaxy S26'nın tekrar tekrar hacklenmesi yalnızca teknik bir gösteri değil, güncellenmiş cihazların düzeltmeler kullanıma sunulmadan önce karmaşık istismar zincirlerine karşı hâlâ savunmasız kalabileceğini gösteriyor.
Yarışma, güvenlik açıklarını gerçek saldırılarda kullanılmadan önce keşfetmek amacıyla Trend Micro Zero Day Initiative tarafından düzenleniyor. Yarışma kapsamında açıklar ortaya çıkarıldıktan sonra üreticilere, ZDI ayrıntıları kamuya açıklamadan önce yamaları yayımlamaları için 90 gün süre tanınıyor. Rapor, Samsung'un bu güvenlik açıkları için düzeltmeler yayımlayıp yayımlamadığını veya tüm istismarların tamamen yeni güvenlik açıklarına dayanıp dayanmadığını belirtmiyor; raporda, ilk gün gerçekleştirilen hacklemelerde kullanılan bazı güvenlik açıklarının şirket tarafından önceden bilindiği ifade edildi.
Yarışmanın bağlamı
2026 edisyonunda mobil cihazlar, mesajlaşma uygulamaları, akıllı ev cihazları, yazıcılar, yapay zekâ altyapısı ve yapay zekâ programlama uygulamalarının yanı sıra sağlık ve wellness cihazlarını hedefleyen yeni bir kategori de dahil olmak üzere yedi kategori bulunuyor.
İlk gün Interrupt Labs ve Ikotas Labs ekipleri ile Viettel Cyber Security'den Nguyen Thanh Dat, Galaxy S26'yı da hackledi. VinSOC'tan Vũ Chí Thành ve Huỳnh Đức Tin ayrıca Oracle Autonomous AI Database'i hedefleyen beş sıfırıncı gün açığından oluşan bir zincir karşılığında 40.000 dolar ve Philips Hue Bridge Pro'ya yönelik yedi sıfırıncı gün açığından oluşan bir zincir karşılığında ek 40.000 dolar kazandı. Üçüncü günde akıllı ev cihazları, yapay zekâ platformları ve yazıcıların yanı sıra Galaxy S26 ve Google Pixel 10'a yönelik hackleme girişimlerinin sürmesi planlanıyor.
Karşılaştırma olarak, Pwn2Own Ireland 2025 yarışmasında 73 sıfırıncı gün açığı sergilendi ve toplam ödül miktarı 1.024.750 dolara ulaştı.