En el primer día de Pwn2Own Ireland 2026, investigadores de seguridad lograron explotar 32 vulnerabilidades zero-day únicas, obteniendo recompensas por un total de 388.500 dólares. Entre los sistemas comprometidos se encuentran el Samsung Galaxy S26, OpenAI Codex, servicios de IA y dispositivos domésticos inteligentes; sin embargo, los intentos contra el Google Pixel 10 no tuvieron éxito dentro del tiempo establecido.

Se informa que investigadores de seguridad explotaron 32 vulnerabilidades únicas de día cero y ganaron 388.500 dólares en el día de apertura de Pwn2Own Ireland 2026. El Samsung Galaxy S26, OpenAI Codex, dispositivos domésticos inteligentes y servicios de IA sucumbieron ante exploits funcionales, pero el intento con el Google Pixel 10 falló dentro del límite de tiempo del concurso.

Los resultados del 6 de octubre muestran cómo las brechas de seguridad abarcan teléfonos, dispositivos conectados y el software utilizado para construir sistemas de IA. ZDI anunció 21 participaciones para el primer día, con varios ataques exitosos que combinaron fallos nuevos con errores que los proveedores ya conocían.

Cadenas de exploit del Samsung Galaxy S26

Tres equipos explotaron con éxito el Samsung Galaxy S26, según los resultados oficiales de ZDI. Cada uno utilizó cuatro errores, pero sus pagos difirieron porque partes de sus cadenas de exploit se solapaban con fallos reportados anteriormente.

Nguyen Thanh Dat de Viettel Cyber Security ganó 31.250 dólares tras utilizar un error nuevo junto a tres fallos conocidos por el proveedor. Interrupt Labs recibió 15.750 dólares por otra cadena que contenía un día cero y tres colisiones. Ikotas Labs ganó 11.000 dólares tras usar tres errores nuevos y un fallo que Samsung ya conocía pero no había parcheado.

Estos resultados resaltan una distinción importante: un exploit exitoso no significa que cada error en su cadena sea nuevo. ZDI marca los descubrimientos solapados como colisiones, aunque sigue reconociendo los ataques funcionales y otorgando premios reducidos.

El resultado del Pixel 10 fue diferente. Los investigadores de White Noise Club Mikhail Evdokimov, Polina Smirnova y Mate Zombor no pudieron completar su exploit dentro del tiempo asignado. El resultado publicado no establece que el teléfono no tenga vulnerabilidades.

Ikotas Labs explotó OpenAI Codex utilizando un único fallo de inyección de argumentos, ganando 40.000 dólares. ZDI identificó el tipo de error, pero no publicó los pasos completos del exploit, las versiones afectadas ni un identificador CVE en su informe del primer día.

Taisic Yun de Xint combinó una validación de entrada incorrecta con inyección de código para obtener una shell inversa en LiteLLM, ganando otros 40.000 dólares. Una shell inversa le da al investigador una conexión de comandos desde el sistema objetivo, demostrando un acceso que va más allá de un simple error de aplicación.

Out of Bounds también explotó LiteLLM a través de cuatro errores, dos de ellos previamente conocidos, recibiendo 15.000 dólares. Mientras tanto, VinSOC encadenó cinco fallos contra Oracle Autonomous AI Database por 40.000 dólares. Su intento separado contra Chroma no tuvo éxito antes de que expirara el tiempo.

Fallos en Dispositivos Inteligentes e Impresoras

Los investigadores de VinSOC Vũ Chí Thành y Huỳnh Đức Tin revelaron siete días cero mientras explotaban el Philips Hue Bridge Pro, ganando 40.000 dólares. Otros intentos exitosos con Hue contenían mayoritariamente errores conocidos, lo que demuestra por qué el número de fallos explotados y el número de descubrimientos únicos deben mantenerse separados.

McCaulay Hudson ganó 50.000 dólares al combinar una escritura fuera de límites (out-of-bounds write) con un fallo de cadena de formato contra Sonos Era 300. Estas clases de errores implican un acceso a memoria inseguro o un manejo inseguro de texto formateado, aunque ZDI reservó los detalles mecánicos del exploit.

La Lexmark CX532adwe sucumbió a ataques separados de Thanh Do del Team Confused y Sina Kheirkhah del Summoning Team. Interrupt Labs también ganó 20.000 dólares al combinar una lectura y escritura fuera de límites contra Garmin Index BPM.

Las demostraciones se llevaron a cabo bajo las reglas del concurso; no son evidencia de ataques contra usuarios reales.

Reduce cada investigación de alerta de SOC en 21 min. Potencia tu SOC con contexto de IOC instantáneo para una respuesta inmediata: Integra TI Lookup en tu SOC