Изследователи по сигурността са експлоатирали 32 уникални уязвимости от тип нулев ден и са спечелили 388 500 долара през първия ден на състезанието Pwn2Own Ireland 2026. Samsung Galaxy S26, OpenAI Codex, смарт устройства за дома и AI услуги са били пробити чрез работещи експлойти, докато опитът срещу Google Pixel 10 е бил неуспешен в рамките на регламентираното време.
Резултатите от 6 октомври показват как пропуските в сигурността засягат телефони, свързани устройства и софтуера, използван за изграждане на AI системи. ZDI обяви 21 участия за първия ден, като няколко успешни атаки комбинираха нови уязвимости с дефекти, за които производителите вече са знаели.
Вериги от експлойти за Samsung Galaxy S26
Три екипа успешно са експлоатирали Samsung Galaxy S26, според официалните резултати на ZDI. Всеки от тях е използвал четири дефекта, но техните награди се различават, тъй като части от техните вериги от експлойти са се припокривали с вече докладвани уязвимости.
Nguyen Thanh Dat от Viettel Cyber Security спечели 31 250 долара след използване на един нов дефект заедно с три уязвимости, известни на производителя. Interrupt Labs получиха 15 750 долара за друга верига, съдържаща една zero-day уязвимост и три колизии. Ikotas Labs спечелиха 11 000 долара след използване на три нови дефекта и една уязвимост, за която Samsung вече са знаели, но не са отстранили чрез корекция за сигурност.
Тези резултати подчертават важно разграничение: успешният експлойт не означава, че всеки дефект във веригата е нов. ZDI отбелязва припокриващите се открития като колизии, като същевременно признава работещите атаки и присъжда намалени награди.
Резултатът при Pixel 10 беше различен. Изследователите от White Noise Club Михаил Евдокимов, Полина Смирнова и Мате Зомбор не успяха да завършат своя експлойт в рамките на определеното време. Публикуваният резултат не доказва, че телефонът няма уязвимости.
Ikotas Labs експлоатираха OpenAI Codex чрез единичен дефект за инжектиране на аргументи (argument injection), печелейки 40 000 долара. ZDI идентифицира типа дефект, но не публикува пълните стъпки за експлоатация, засегнатите версии или CVE идентификатор в доклада си от първия ден.
Taisic Yun от Xint комбинира неправилна валидация на входни данни с инжектиране на код, за да получи reverse shell към LiteLLM, спечелвайки още 40 000 долара. Reverse shell връзката осигурява на изследователя отдалечен команден контрол от целевата система, демонстрирайки достъп, далеч надхвърлящ обикновена грешка в приложението.
Out of Bounds също експлоатираха LiteLLM чрез четири дефекта, два от които предварително известни, получавайки 15 000 долара. Междувременно VinSOC свързаха пет уязвимости във верига срещу Oracle Autonomous AI Database за 40 000 долара. Техният отделен опит срещу Chroma не успя преди изтичането на времето.
Уязвимости в смарт устройства и принтери
Изследователите от VinSOC Vũ Chí Thành и Huỳnh Đức Tin разкриха седем zero-day уязвимости при експлоатирането на Philips Hue Bridge Pro, спечелвайки 40 000 долара. Други успешни опити срещу Hue съдържаха предимно известни дефекти, показвайки защо броят на експлоатираните слабости и броят на уникалните открития трябва да се разглеждат отделно.
McCaulay Hudson спечели 50 000 долара чрез комбиниране на запис извън границите на буфера (out-of-bounds write) с дефект на форматиращия низ (format string flaw) срещу Sonos Era 300. Тези класове дефекти включват опасен достъп до паметта или ненадеждна обработка на форматиран текст, въпреки че ZDI не разкри подробната механика на експлойта.
Lexmark CX532adwe стана жертва на отделни атаки от Thanh Do от Team Confused и Sina Kheirkhah от Summoning Team. Interrupt Labs също спечелиха 20 000 долара чрез комбиниране на четене и запис извън границите на буфера срещу Garmin Index BPM.
Демонстрациите се проведоха според правилата на състезанието; те не са доказателство за атаки срещу реални потребители.