Pwn2Own Berlín 2026 se está convirtiendo rápidamente en uno de los concursos de seguridad ofensiva más intensos de los últimos años, y el segundo día ha traído una nueva oleada de exploits críticos de día cero dirigidos a software empresarial, herramientas de IA y sistemas operativos.

Investigadores de seguridad demostraron escenarios de ataque reales contra objetivos de alto valor, incluyendo Microsoft Exchange, Windows 11 y plataformas de codificación de IA, resaltando la creciente superficie de ataque en los entornos modernos.

Tras un fuerte día de apertura, el segundo día añadió 385.750 $ en recompensas por 15 nuevas vulnerabilidades de día cero, elevando el total a 908.750 $ y 39 bugs únicos descubiertos hasta ahora. DEVCORE sigue dominando la tabla de clasificación, debido en gran medida a una vulneración de alto impacto en Microsoft Exchange.

El RCE de Microsoft Exchange se lleva el protagonismo

El exploit más significativo del día fue obra de Orange Tsai de DEVCORE, quien encadenó tres vulnerabilidades para lograr la ejecución remota de código (RCE) con privilegios de SYSTEM en Microsoft Exchange, según informó Zero Day Initiative.

Este ataque de cadena completa ganó 200.000 $ y 20 puntos de Maestro de Pwn, convirtiéndose en el exploit de mayor valor del evento hasta el momento.

Este tipo de ataque es particularmente peligroso porque los servidores Exchange suelen estar en el núcleo de la comunicación empresarial. Un RCE exitoso permite que los atacantes controlen totalmente la infraestructura de correo electrónico, permitiendo potencialmente el espionaje, el movimiento lateral y la exfiltración de datos.

Por ejemplo, en un escenario real, un atacante que explote Exchange podría acceder silenciosamente a correos internos, desplegar malware o suplantar la identidad de ejecutivos en campañas de phishing.

Escaladas de privilegios en Windows 11 y Linux

Los sistemas operativos también fueron blanco de muchos ataques. Siyeon Wi explotó con éxito una vulnerabilidad de desbordamiento de enteros en Windows 11, ganando privilegios elevados y obteniendo 7.500 $.

Aunque la recompensa sea menor, este tipo de bugs son críticos porque pueden convertir un acceso limitado en el control total del sistema.

Por el lado de Linux, Ben Koo del Equipo DDOS explotó un fallo de uso después de liberación (use-after-free) para escalar privilegios en Red Hat Enterprise Linux, reforzando el hecho de que los problemas de seguridad de la memoria siguen azotando los sistemas centrales.

La IA y las herramientas enfocadas al desarrollo surgieron como objetivos principales este año. Notablemente:

• Cursor IDE fue explotado con éxito dos veces por diferentes equipos, confirmando múltiples vulnerabilidades en entornos de codificación asistidos por IA.
• OpenAI Codex fue comprometido por el Summoning Team utilizando una novedosa cadena de exploits.
• LM Studio fue víctima de un ataque de inyección de código por investigadores de OtterSec.

Estos hallazgos subrayan una tendencia clave: las herramientas de desarrollo impulsadas por IA se están convirtiendo en objetivos de alto valor debido a su acceso al código fuente y a los flujos de trabajo de los desarrolladores.

No todos los intentos fueron exitosos. Los exploits dirigidos a Apple Safari, Microsoft SharePoint y Mozilla Firefox fallaron durante la ejecución, mostrando la creciente dificultad de lograr una explotación fiable incluso cuando las vulnerabilidades son conocidas.

Mientras tanto, varias entradas resultaron en "colisiones", donde los investigadores demostraron exploits válidos utilizando bugs previamente descubiertos. Aunque fueron recompensados, esto resalta los esfuerzos de investigación superpuestos dentro de la comunidad de seguridad.

A falta de un día, DEVCORE lidera con 40,5 puntos y 405.000 $, pero la carrera por el "Maestro de Pwn" sigue abierta. A medida que se esperan más días cero, los proveedores, incluidos Microsoft, Red Hat y los proveedores de plataformas de IA, se apresurarán a parchear las vulnerabilidades recién expuestas.

Pwn2Own Berlín sigue demostrando lo rápido que los atacantes pueden encadenar múltiples bugs en exploits devastadores, ofreciendo a los defensores una advertencia temprana crítica de lo que pronto podría aparecer en el mundo real.