A competição de segurança Pwn2Own Ireland 2026 chegou ao fim com um saldo de 98 vulnerabilidades zero-day exploradas. O evento distribuiu 1.262.000 dólares (cerca de 1,12 milhões de euros) em prémios aos investigadores de segurança que conseguiram comprometer dezenas de dispositivos e plataformas em tempo real.
Segundo a informação avançada pelo BleepingComputer, a equipa Ikotas Labs dominou a edição deste ano. Os investigadores alcançaram 42,5 pontos na categoria "Master of Pwn" e acumularam 361 mil dólares (cerca de 321 mil euros) ao longo dos três dias de evento. As invasões visaram alvos de peso, como o Samsung Galaxy S26, a plataforma OpenAI Codex e a Oracle Autonomous AI Database.
A vitória da equipa foi consolidada no terceiro dia do concurso, altura em que arrecadaram a maior recompensa individual no valor de 300 mil dólares (cerca de 267 mil euros). O prémio foi entregue após os especialistas combinarem múltiplas falhas para comprometer o Google Pixel 10.
A tabela classificativa destacou também a Xint no segundo lugar, com uma recompensa de 240 mil dólares (aproximadamente 214 mil euros) e 27,5 pontos. A Team ZyGoat garantiu a terceira posição, recebendo 125 mil dólares (cerca de 111 mil euros) com a mesma pontuação.
Três dias de ataques intensivos
O arranque do Pwn2Own Ireland 2026 foi marcado por investidas contra o topo de gama da Samsung. Equipas como a Interrupt Labs, a própria Ikotas Labs e o investigador Nguyen Thanh Dat conseguiram ultrapassar as defesas do Galaxy S26, embora algumas das falhas exploradas já fossem do conhecimento do fabricante. O primeiro dia terminou com 32 vulnerabilidades inéditas reveladas e 388.500 dólares (perto de 346 mil euros) distribuídos.
O segundo dia manteve o ritmo acelerado, com os participantes a demonstrar 45 vulnerabilidades exclusivas, o que se traduziu em 232.500 dólares (cerca de 207 mil euros) em prémios. O Galaxy S26 voltou a ceder perante os ataques de Kyeongmin Kim da KAIST Hacking Lab, da PetoWorks e de uma equipa da CENSUS Labs composta por Dimitrios Valsamaras, Ken Gannon e Tenia Valsamara.
A reta final do evento não poupou os gigantes tecnológicos. Além de uma nova invasão ao dispositivo da Samsung, o Google Pixel 10 foi comprometido em três ocasiões distintas. Apenas neste último dia, foram revelados 21 zero-days, gerando recompensas no valor de 641 mil dólares (aproximadamente 571 mil euros).
Alvos diversificados e ausências de peso
Nesta edição, 29 equipas de investigação direcionaram os seus esforços para sete categorias distintas. Os alvos abrangeram smartphones, infraestruturas e aplicações de programação baseadas em inteligência artificial, plataformas de mensagens, equipamentos de casa inteligente, impressoras e uma nova categoria dedicada a dispositivos de saúde e bem-estar.
O iPhone 17 da Apple integrava a lista de potenciais alvos, oferecendo uma recompensa máxima de 300 mil dólares para quem conseguisse uma invasão remota. Contudo, nenhum participante se registou para realizar qualquer tentativa.
Organizado pela Zero Day Initiative (ZDI) da Trend Micro, o concurso tem como principal objetivo identificar vulnerabilidades antes que possam ser exploradas em ataques reais. As regras exigem que todos os produtos testados executem as versões de firmware mais recentes. Os fabricantes dispõem agora de 90 dias para corrigir as falhas identificadas antes da ZDI tornar os detalhes públicos.
Como ponto de comparação, a edição do Pwn2Own Ireland 2025 registou a demonstração de 73 vulnerabilidades, resultando no pagamento de 1.024.750 dólares (cerca de 913 mil euros). Na altura, a Summoning Team venceu a competição com prémios no valor de 187.500 dólares (perto de 167 mil euros) após explorar falhas no Samsung Galaxy S25 e em dispositivos de marcas como a QNAP e a Synology.
Nenhum comentário
Seja o primeiro!