На первый день Pwn2Own Ireland 2026 исследователи нашли 32 уязвимости нулевого дня и заработали $388 500. За 21 попытку специалисты раскрыли проблемы в смартфонах, инструментах искусственного интеллекта и устройствах умного дома. Масштаб сопоставим с прошлогодним турниром, хотя соревнование только началось.
Samsung Galaxy S26 стал одной из главных мишеней. Смартфон атаковали исследователи Interrupt Labs, Ikotas Labs и Viettel Cyber Security. Часть ошибок в использованных цепочках уже была известна Samsung, поэтому организаторы засчитали некоторые результаты как повторное использование и уменьшили выплаты. В последние месяцы Galaxy S26 неоднократно попадал под атаки исследователей, включая полный root-доступ через отдельную цепочку уязвимостей.
В категории ИИ-агентов Ikotas Labs взломала OpenAI Codex через одну ошибку argument injection. Уязвимость позволила пройти требования конкурса и принесла команде $40 000. Codex за последние месяцы уже становился целью других исследований, включая zero-click RCE в популярных инструментах программирования.
Самую длинную цепочку первого дня собрали специалисты VinSOC. Для взлома Philips Hue Bridge Pro они объединили семь уязвимостей нулевого дня и получили $40 000. Умное освещение Philips регулярно становится точкой входа в домашние сети, его старые проблемы отражают типичные риски устройств IoT.
VinSOC отличилась и в категории ИИ-инфраструктуры. Другая команда специалистов связала пять уязвимостей в Oracle Autonomous AI Database, также получив $40 000. Безопасность баз данных Oracle остаётся одним из её основных направлений обновлений: только летом компания закрыла десятки проблем в семействе Database Products.
Список успешных целей шире. Исследователи взломали LiteLLM, многофункциональные устройства Lexmark CX532adwe и Canon imageFORCE 1643F, для компрометации Sonos Era 300 использовали четыре уязвимости. Попытка White Noise Club атаковать Google Pixel 10 завершилась неудачей: эксплойт не удалось запустить за отведённое время.
По опубликованным результатам, организаторы различают полностью новые уязвимости и повторные находки, когда часть цепочки уже известна производителю. Поэтому успешный взлом не всегда означает, что вся цепочка состоит исключительно из неизвестных ошибок.
Pwn2Own Ireland 2026 проходит с 6 по 9 октября, список скомпрометированных продуктов ещё вырастет. Участников ждут новые попытки против Galaxy S26, Pixel 10, Oracle Autonomous AI Database, Chroma, Home Assistant Green и других целей. Прошлые турниры показывают рост сложности атак: на одном из предыдущих этапов за один день пали Windows, Red Hat Linux, VirtualBox и ИИ-системы.
