Primeiro dia rende 388,5 mil dólares e 32 falhas zero day

No primeiro dia do Pwn2Own Irlanda 2026 pesquisadores de segurança exploraram 32 falhas zero day e conquistaram 388,5 mil dólares em prêmios. A competição organizada pela Zero Day Initiative reuniu especialistas para testar produtos em sete categorias distintas.

Categorias e alvos em disputa

  • Telefones móveis com iPhone 17 Galaxy S26 e Pixel 10
  • Impressoras multifuncionais
  • Dispositivos de casa inteligente
  • Aplicativos de mensagens
  • Infraestrutura de IA
  • Aplicativos de codificação por IA
  • Dispositivos de saúde e bem estar nova categoria

O destaque da jornada foi a quebra do Galaxy S26 da Samsung realizada por Interrupt Labs Ikotas Labs e Nguyen Thanh Dat da Viettel Cyber Security embora algumas das falhas exploradas em cada desafio já fossem conhecidas pelo fabricante.

A dupla Vũ Chí Thành e Huỳnh Đức Tin da VinSOC liderou a classificação ao encadear sete falhas zero day contra o hub de iluminação inteligente Philips Hue Bridge Pro rendendo 40 mil dólares e outras cinco falhas contra o Oracle Autonomous AI Database somando mais 40 mil dólares.

Também foram demonstradas falhas no LiteLLM houve a invasão das impressoras multifuncionais Lexmark CX532adwe e Canon imageFORCE 1643F a derrubada do agente de codificação em nuvem OpenAI Codex por meio de um único bug de injeção de argumento e a exploração de quatro vulnerabilidades para comprometer o alto-falante inteligente Sonos Era 300 mais uma vez.

A equipe White Noise Club formada por Mikhail Evdokimov Polina Smirnova e Mate Zombor tentou explorar o Google Pixel 10 mas não obteve sucesso dentro do tempo limite. A Zero Day Initiative organiza o evento para identificar falhas antes de atores maliciosos e os fabricantes dispõem de 90 dias para lançar correções antes da divulgação pública pela ZDI da Trend Micro.

Próximos dias e retrospectiva

No segundo dia os alvos incluem novamente infraestrutura de IA impressoras casa inteligente bem estar Galaxy S26 e Pixel 10 enquanto o terceiro dia repetirá os dois flagships além de múltiplos dispositivos de casa inteligente infraestrutura de IA e impressoras. Na edição de 2025 os pesquisadores arrecadaram 1,024 milhão de dólares por 73 falhas zero day com a Summoning Team faturando 187,5 mil dólares ao invadir Galaxy S25 servidores Synology câmeras e dispositivos QNAP TS 453E.

Com informações de: BleepingComputer