Завершились ежегодные соревнования Pwn2Own Ireland 2026, где ИБ-исследователи суммарно заработали 1 262 000 долларов США, продемонстрировав эксплуатацию 98 уязвимостей нулевого дня. Среди главных целей специалистов оказались флагманские смартфоны Google Pixel 10 и Samsung Galaxy S26, которые удалось успешно скомпрометировать несколько раз.
На этот раз в состязании приняли участие 29 команд, специалисты которых атаковали устройства и ПО из семи категорий: смартфоны, ИИ-инфраструктуру, ИИ-инструменты для программирования, мессенджеры, устройства умного дома, принтеры и гаджеты для мониторинга здоровья. Напомним, что по правилам Pwn2Own все целевые устройства должны были работать на последних версиях прошивок и со всеми доступными патчами.
Особое внимание исследователей привлек смартфон Google Pixel 10, который за один день успешно взломали сразу три команды. Причем все атаки проводились удаленно, без физического доступа к смартфону.
Первой успеха в компрометации Google Pixel 10 добилась команда Xint, в составе которой выступали Тим Беккер (Tim Becker) и Ив Бьери (Yves Bieri). Исследователи эксплуатировали одну уязвимость, уже известную организаторам конкурса, поэтому получили за успешную атаку 150 000 долларов США и 15 баллов Master of Pwn.
Следом специалисты Ikotas Labs объединили несколько багов в цепочку эксплоитов и тоже скомпрометировали Pixel 10. За этот взлом команда получила максимальную награду в размере 300 000 долларов США и 30 баллов Master of Pwn.
Третий взлом смартфона Google выполнили исследователи команды CENSUS Labs — Димитриос Валсамарас (Dimitrios Valsamaras), Кен Гэннон (Ken Gannon) и Тения Валсамара (Tenia Valsamara). Их цепочка атаки включала две уязвимости, одна из которых была ранее неизвестной. В результате исследователи заработали 112 500 долларов США и 22,5 балла Master of Pwn.
В общей сложности одни только атаки на Pixel 10 принесли участникам соревнований 562 500 долларов США.
Ситуация с Samsung Galaxy S26 оказалась ничуть не лучше: этот смартфон успешно взломали во всех семи попытках, исходно заявленных на Pwn2Own. Отмечается, что как минимум часть использованных экспертами уязвимостей уже была известна производителю, однако на момент соревнований оставалась неисправленной.
Кроме того, исследователи продемонстрировали атаки на ИИ-агента OpenAI Codex, Oracle Autonomous AI Database, принтеры Lexmark, Canon и Brother (на одном из которых успешно запустили Doom), а также устройства Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green и Garmin Index BPM.
Победителем Pwn2Own Ireland в этом году стала команда Ikotas Labs, которая заработала 361 000 долларов США и набрала 42,5 балла Master of Pwn. Второе место заняла Xint с наградой в 240 000 долларов США, третье — Team ZyGoat со 125 000 долларов США.
Суммарно за три дня состязаний участники успешно выполнили 51 из 63 запланированных попыток взлома. Примечательно, что на Pwn2Own в этом году также был представлен iPhone 17 (с максимальной наградой за взлом в размере 300 000 долларов США), но атаковать его в итоге никто не решился.
Теперь у производителей есть 90 дней на выпуск патчей. После этого специалисты Trend Micro Zero Day Initiative публично раскроют детали всех показанных на конкурсе уязвимостей.
Для сравнения, на Pwn2Own Ireland 2025 исследователи продемонстрировали 73 уязвимости нулевого дня и заработали 1 024 750 долларов США.
