رقابت‌های هک Pwn2Own ایرلند ۲۰۲۶ با شناسایی ۹۸ آسیب‌پذیری زیرو دِی (Zero-Day) به پایان رسید و مجموعاً ۱,۲۶۲,۰۰۰ دلار پاداش به پژوهشگران امنیتی پرداخت شد.
برندگان و اهداف اصلی
تیم پژوهشی Ikotas Labs با کسب ۴۲.۵ امتیاز Master of Pwn و دریافت ۳۶۱,۰۰۰ دلار، مقام اول این دوره را از آن خود کرد. این تیم موفق شد در طول سه روز مسابقه، به دستگاه‌های Samsung Galaxy S26، سرویس OpenAI Codex و پایگاه داده Oracle Autonomous AI Database نفوذ کند.
بزرگ‌ترین جایزه تک‌مرحله‌ای مسابقه (۳۰۰,۰۰۰ دلار) در روز سوم به این تیم تعلق گرفت؛ جایی که آن‌ها با زنجیره‌ای از چندین آسیب‌پذیری زیرو دِی، موفق به هک Google Pixel 10 شدند.
جزئیات روند نفوذ در روزهای مسابقه
- روز اول: تیم‌های Interrupt Labs، Ikotas Labs و پژوهشگران Viettel Cyber Security با شناسایی ۳۲ آسیب‌پذیری زیرو دِی، به پرچمدار سامسونگ (Galaxy S26) نفوذ کردند. مجموع جوایز این روز ۳۸۸,۵۰۰ دلار بود.
- روز دوم: پژوهشگران با شناسایی ۴۵ آسیب‌پذیری منحصر‌به‌فرد، ۲۳۲,۵۰۰ دلار جایزه دریافت کردند. در این مرحله، تیم‌های PetoWorks و CENSUS Labs توانستند سه بار دیگر Galaxy S26 را از کار بیندازند.
- روز سوم: در روز پایانی، ۲۱ آسیب‌پذیری زیرو دِی شناسایی شد که منجر به پرداخت ۶۴۱,۰۰۰ دلار جایزه گردید. در این روز، دسترسی Root به Galaxy S26 و سه مورد نفوذ به Google Pixel 10 ثبت شد.
دامنه هدف و دسته‌بندی‌ها
در این دوره، ۲۹ تیم پژوهشی روی هفت دسته‌بندی مختلف تمرکز کردند که عبارت بودند از: تلفن‌های همراه (Samsung Galaxy S26 و Google Pixel 10)، زیرساخت‌های هوش مصنوعی (AI Infrastructure)، اپلیکیشن‌های کدنویسی مبتنی بر AI، پیام‌رسان‌ها، دستگاه‌های خانه هوشمند، چاپگرها و دسته‌بندی جدید تجهیزات سلامت (Wellness Healthcare Devices).
لازم به ذکر است که iPhone 17 اپل نیز جزو اهداف احتمالی بود و جایزه‌ای ۳۰۰,۰۰۰ دلاری برای نفوذ از راه دور (Remote Hack) در نظر گرفته شده بود، اما هیچ تیمی برای تلاش روی این دستگاه ثبت‌نام نکرد.
نقش ZDI و فرآیند اصلاح
این مسابقات توسط Zero Day Initiative (ZDI) متعلق به شرکت Trend Micro سازمان‌دهی می‌شود تا آسیب‌پذیری‌ها پیش از آنکه توسط مهاجمان در دنیای واقعی (In the Wild) مورد استفاده قرار گیرند، شناسایی شوند. طبق قوانین، تمامی دستگاه‌ها باید آخرین نسخه Firmware را داشته باشند و شرکت‌کنندگان باید توانایی اجرای کد دلخواه (Arbitrary Code Execution) را به اثبات برسانند.
تولیدکنندگان محصولات حداکثر ۹۰ روز فرصت دارند تا آسیب‌پذیری‌های افشا شده در Pwn2Own را وصله (Patch) کنند؛ در غیر این صورت، ZDI جزئیات فنی را به صورت عمومی منتشر خواهد کرد.
