El primer día de Pwn2Own Automotive 2026, que entregó 516.500 USD por 37 zero-days, el evento ha acumulado ya 955.750 USD en 66 vulnerabilidades únicas, demostrando la amplia superficie de ataque del sector automotriz.

La competición mostró exploits dirigidos a múltiples subsistemas de vehículos, incluyendo sistemas de infoentretenimiento (IVI), estaciones de carga para vehículos eléctricos y entornos Linux embebidos.

Los investigadores demostraron con éxito fallos de inyección de comandos, desbordamientos de búfer, bypasses de autenticación y vulnerabilidades de escalada de privilegios en dispositivos fabricados por Alpine, Kenwood, Phoenix Contact, Alpitronic y Autel.

Fuzzware.io se consolidó como líder indiscutible en la clasificación de Master of Pwn, demostrando sofisticación técnica mediante cadenas de vulnerabilidades complejas.

Combinaron vulnerabilidades de inyección de comandos con complementos de manipulación de protocolos para maximizar puntos.

El equipo explotó múltiples fallos en los sistemas Phoenix Contact CHARX SEC-3150 y ChargePoint Home Flex (CPH50-K).

Su estrategia de encadenar múltiples vulnerabilidades refleja las técnicas avanzadas de explotación requeridas en la investigación moderna de seguridad automotriz.

Entre los logros destacados del segundo día, Rob Blakely de Technical Debt Collectors encadenó con éxito tres fallos: una lectura fuera de límites, agotamiento de memoria y un desbordamiento de heap contra Automotive Grade Linux, ganando 40.000 USD.

Esta cadena de exploits demostró la criticidad de defender las plataformas automotrices de código abierto utilizadas en toda la industria.

Vulnerabilidades en la infraestructura de carga de vehículos eléctricos expuestas

La infraestructura de carga surgió como un vector de vulnerabilidad prominente, con múltiples equipos logrando eludir la seguridad en estaciones de carga para vehículos eléctricos.

Synacktiv explotó un desbordamiento de búfer basado en pila en el Autel MaxiCharger AC Elite Home 40A. Mientras tanto, el equipo Summoning demostró fallos de inyección de comandos en los sistemas ChargePoint Home Flex.

Estos ataques subrayan las implicaciones de seguridad de la rápida expansión de las redes de carga de vehículos eléctricos.

El evento también documentó exploits de colisión, en los que varios equipos descubrieron independientemente las mismas vulnerabilidades.

Se produjeron quince envíos de colisión durante el segundo día, lo que redujo los pagos totales de premios, pero validó que ciertos fallos de seguridad son detectables mediante múltiples enfoques de investigación.

El liderazgo dominante de Fuzzware.io sugiere que el último día podría decidir el título de Master of Pwn, donde la ejecución técnica y la velocidad de descubrimiento de vulnerabilidades se convertirán en factores decisivos.

Según zerodayinitiative, el recuento acumulado de 66 zero-days en dos días destaca la amplitud de las superficies de ataque automotrices, desde el infoentretenimiento y los protocolos de carga hasta los sistemas operativos embebidos.

El tercer día probablemente traerá descubrimientos adicionales a medida que concluya la competición.

Las vulnerabilidades reveladas en Pwn2Own informan a los fabricantes sobre sus hojas de ruta de seguridad y contribuyen a los esfuerzos de endurecimiento en toda la industria de plataformas de vehículos conectados.