Op de tweede dag van de hackwedstrijd Pwn2Own Ireland 2026 is de Samsung Galaxy S26 nog drie keer succesvol gekraakt, deze keer door drie verschillende teams. Onderzoekers verdienden op deze dag in totaal 232.500 dollar door 45 unieke zero-day-kwetsbaarheden te misbruiken. Op de openingsdag vielen er al 32 zero-days, met de Galaxy S26 toen ook al twee keer als slachtoffer.
Kyeongmin Kim van het KAIST Hacking Lab was de eerste die op dag twee een werkende exploit op de telefoon demonstreerde. Het team PetoWorks volgde met een eigen aanval, en ook het drietal Dimitrios Valsamaras, Ken Gannon en Tenia Valsamara van CENSUS Labs slaagde erin het toestel te kraken. Daarmee is Samsungs nieuwste vlaggschip in twee dagen tijd al vijf keer succesvol aangevallen.
Ook andere apparatuur en AI-infrastructuur moesten eraan geloven. Jack Dates van RET2 Systems kraakte de Sonos Era 300 smart-speaker in minder dan een minuut. Onderzoeker HaeJung Yang van Out of Bounds verdiende 40.000 dollar met een exploit op het AI-infrastructuurplatform Dynamo. Een team van zes onderzoekers, waaronder PetoWorks, Yves Bieri en Kyeongmin Kim, kraakte samen de smart-home-hub Home Assistant Green. Ikotas Labs wist met een keten van zeven aan elkaar geschakelde zero-days binnen te dringen in Oracle’s Autonomous AI Database.
Na de eerste dag ging het Vietnamese team VinSOC, met onderzoekers Vũ Chí Thành en Huỳnh Đức Tin, aan de leiding met 80.000 dollar aan buit, verdiend met exploits op Oracle-software en de Philips Hue Bridge Pro. De wedstrijd wordt georganiseerd door Trend Micro’s Zero Day Initiative, dat op deze manier kwetsbaarheden in volledig gepatchte apparatuur blootlegt voordat kwaadwillenden ze kunnen misbruiken.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruik je zakelijk smart-apparatuur zoals de Sonos Era 300 of Home Assistant Green, of draai je AI-platformen zoals Oracle's Autonomous AI Database, houd dan de updates van de leveranciers in de gaten. Kwetsbaarheden die op Pwn2Own worden gedemonstreerd, worden na de wedstrijd gemeld aan de fabrikant, maar tot een patch verschijnt blijft het apparaat in theorie aanvalbaar.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.