Pwn2Own Ireland: 98 zero-day пробива за 1,26 млн. долара

Pwn2Own Ireland 2026 в Корк затвори врати в четвъртък, 8 октомври, с рекордна равносметка: 98 уникални zero-day уязвимости и 1 262 000 долара (около 1,12 млн. евро) награди за три дни. Това отчита BleepingComputer по данните на Zero Day Initiative (ZDI) на Trend Micro — организаторът на състезанието.

Титлата Master of Pwn отиде при Ikotas Labs с 42,5 точки и 361 000 долара (приблизително 320 000 евро). Решаващият удар дойде в последния ден.

300 000 долара за Google Pixel 10

Най-големият чек на изданието — 300 000 долара (около 266 000 евро) и 30 точки — Ikotas Labs получи за верига от няколко уязвимости срещу Google Pixel 10. Според резултатите от третия ден това е и демонстрацията, която изстреля отбора на върха на класирането.

Pixel 10 се оказа звездата на финалния ден, при това в лошия смисъл. Телефонът, който устоя през първите два дни, падна три пъти за няколко часа:

• Ikotas Labs — 300 000 долара, 30 точки
• Xint (Tim Becker и Yves Bieri) — 150 000 долара (около 133 000 евро), 15 точки
• CENSUS Labs с Djini.ai (Dimitrios Valsamaras, Ken Gannon и Tenia Valsamara) — 112 500 долара (приблизително 99 700 евро), 22,5 точки

И трите вериги са отбелязани като сблъсъци (collision), тоест поне част от използваните бъгове вече са били известни на Google или показани по-рано. Иначе сумите щяха да са още по-големи.

Снимка: Zero Day Initiative

Три дни, три различни икономики

Разпределението по дни показва колко неравномерно се пласират наградите в Pwn2Own:

Ден	Zero-day пробиви	Награди
1 (6 октомври)	32	388 500 долара
2 (7 октомври)	45	232 500 долара
3 (8 октомври)	21	641 000 долара

Вторият ден е с най-много уязвимости, но с най-малко пари — защото голяма част от показаното вече е била докладвана. Третият е точно обратното: дузина демонстрации, но срещу най-скъпите цели. Във втория ден Galaxy S26 падна още три пъти, а общата сума за деня беше под една трета от финалната.

Galaxy S26: седем пъти за три дни

Флагманът на Samsung беше най-пробиваното устройство на изданието. След шестте успешни демонстрации в първите два дни, в четвъртък се добави и BunkyoWesterns с 8 250 долара (около 7 300 евро) и 3,75 точки — отново при сблъсък на бъгове.

Google Pixel 10 събра повече пари с три пробива, отколкото Galaxy S26 със седем. Причината е в правилата: първият, който влезе с напълно нова верига, взема цялата сума, а следващите получават дробни суми.

iPhone 17 не беше атакуван

Най-интересното в тазгодишната таблица е празното място. За iPhone 17 ZDI предлагаше до 300 000 долара за отдалечен пробив — същата сума, която Ikotas Labs получи за Pixel 10. Никой отбор не се регистрира за опит срещу телефона на Apple.

Това не е доказателство, че iOS е непробиваем. По-вероятното обяснение е икономическо: работеща верига срещу iPhone струва на сивия пазар многократно повече от 300 000 долара, а подготовката ѝ отнема месеци, които трябва да се вместят между последното обновяване и датата на състезанието.

Не само телефони

Програмата обхващаше седем категории, включително две нови — здравни устройства (Wellness) и AI агенти за код. Garmin Index BPM падна два пъти в първите два дни, но издържа последния опит срещу него (White Noise Club се провали).

Принтерите не се справиха така добре: FuzzingLabs взе 20 000 долара (около 17 700 евро) за Brother MFC-L8970CDW, който беше устоял във втория ден, а Lexmark CX532adwe и Canon imageFORCE 1643F паднаха отново. В умния дом Philips Hue Bridge Pro беше превзет два пъти, а Home Assistant Green — още два.

В AI категориите целите бяха OpenAI Codex, LiteLLM, Chroma, Dynamo и Oracle Autonomous AI Database. Базата на Oracle падна два пъти само в последния ден — от OtterSec и Platform Security, при това и двата пъти със сблъсъци.

Какво следва

Производителите имат 90 дни да закърпят показаното, преди ZDI да публикува техническите подробности. За Google това означава кръпки в бюлетините за Android най-късно до януари 2027 г., а за Samsung — в месечните обновявания през същия период.

Заключение

98 уязвимости звучи плашещо, но числото не описва реален риск за вас днес — всичко е предадено директно на производителите при контролирани условия. Далеч по-показателно е друго: двата най-защитени Android телефона на пазара паднаха десет пъти общо, а голяма част от бъговете вече бяха известни на вендорите. Истинската заплаха за обикновения потребител остава по-прозаична — фърмуер с вграден малуер в евтини устройства, а не вериги за 300 000 долара. Инсталирайте обновяванията за сигурност, когато дойдат.