Pwn2Own Berlin 2026 - Zhakowano Windows 11 i Microsoft Exchange

Pwn2Own Berlin 2026 kończy się dziś na konferencji OffensiveCona w ciągu dwóch potwierdzonych dni liczby są znaczące. Badacze zebrali ponad 908 000 dolarów w nagrodach po zademonstrowaniu 39 unikalnych luk typu zero-day w systemach Windows 11, Microsoft Exchange, Microsoft Edge, Red Hat Enterprise Linux, infrastrukturze Nvidia i szeregu platform AI. Wyniki dnia 3 dopiero nadejdą.

Dzień 1 - Edge upada, Windows 11 zhakowany trzy razy

Dzień 1 wypłacił $ 523,000 w 24 przypadkach zero-day. Wyróżnił się Orange Tsai z zespołu badawczego DEVCORE, który połączył cztery błędy logiczne, aby uciec z piaskownicy Microsoft Edge i zarobić 175 000 USD w jednej demonstracji. Windows 11 został zhakowany trzykrotnie przez trzech niezależnych badaczy, z których każdy zarobił 30 000 dolarów za eskalację przywilejów zero-day. Valentina Palmiotti z IBM X-Force zebrała 70 000 dolarów za dwa oddzielne exploity wymierzone w NVIDIA Container Toolkit i Red Hat Linux. Kategoria sztucznej inteligencji była równie aktywna: LiteLLM, OpenAI Codex, NVIDIA Megatron Bridge, Chroma i LM Studio padły w Dniu 1.

Dzień 2 - Giełda skompromitowana za $200,000

Dzień 2 wypłacił 385 750 USD w ciągu 15 dni zerowych. Orange Tsai pojawił się ponownietym razem łącząc trzy błędy, aby uzyskać zdalne wykonanie kodu z uprawnieniami SYSTEM na w pełni załatanym serwerze Microsoft Exchange, co było jak dotąd najlepiej zarabiającym exploitem w konkursie za 200 000 USD. Windows 11 został ponownie zhakowany w drugim dniu, podobnie jak agent kodujący Cursor AI. OpenAI Codex został również zaatakowany po raz drugi przez innego badacza.

Pojemność wypełniona

Wydarzenie osiągnęło pojemność po raz pierwszy w swojej 19-letniej historii. Ponad 150 badaczy zostało odrzuconych z powodu ograniczeń w harmonogramie, a niektórzy z nich publicznie zrezygnowali z zerowych dni, zamiast czekać na przyszły rok. Wszyscy dostawcy mają 90 dni od ujawnienia na załatanie dziur zademonstrowanych na Pwn2Own.

Notebookcheck opisał potwierdzenie przez Google pierwszego Zero-day opracowanego przez sztuczną inteligencję na początku tego miesiąca, w którym model sztucznej inteligencji napisał i wdrożył funkcjonalny exploit ukierunkowany na obejście 2FA w powszechnie używanym narzędziu do administrowania siecią