A Pwn2Own Ireland hackerano Google Pixel 10 e Samsung Galaxy S26

Si sono concluse le annuali competizioni Pwn2Own Ireland 2026, dove i ricercatori di sicurezza informatica hanno totalizzato 1.262.000 dollari USA, dimostrando l'exploit di 98 vulnerabilità zero-day. Tra gli obiettivi principali figuravano i top di gamma Google Pixel 10 e Samsung Galaxy S26, compromessi più volte. La squadra Xint, composta da Tim Becker e Yves Bieri, ha hackerato il Pixel 10 ricevendo 150.000 dollari USA. Ikotas Labs ha ottenuto il premio massimo di 300.000 dollari USA per un attacco al Pixel 10.

Si sono concluse le annuali competizioni Pwn2Own Ireland 2026, dove i ricercatori di sicurezza informatica hanno totalizzato 1.262.000 dollari USA, dimostrando l’exploit di 98 vulnerabilità zero-day. Tra gli obiettivi principali dei partecipanti figuravano i top di gamma Google Pixel 10 e Samsung Galaxy S26, che sono stati compromessi con successo più volte.

In questa edizione hanno preso parte 29 squadre, i cui esperti hanno attaccato dispositivi e software in sette categorie: smartphone, infrastrutture IA, strumenti IA per la programmazione, messenger istantanei, dispositivi per la casa intelligente, stampanti e gadget per il monitoraggio della salute. Ricordiamo che, secondo le regole di Pwn2Own, tutti i dispositivi target dovevano funzionare con le ultime versioni del firmware e con tutti i patch disponibili.

Particolare attenzione è stata rivolta allo smartphone Google Pixel 10, che in un solo giorno è stato hackerato con successo da tre squadre. Tutte le attacchi sono stati condotti in remoto, senza accesso fisico al dispositivo.

Per prima, il successo nella compromissione del Google Pixel 10 è stato ottenuto dalla squadra Xint, composta da Tim Becker e Yves Bieri. I ricercatori hanno sfruttato una vulnerabilità già nota agli organizzatori della competizione, ricevendo per l’attacco riuscito 150.000 dollari USA e 15 punti Master of Pwn.

Subito dopo, gli esperti di Ikotas Labs hanno combinato diversi bug in una catena di exploit, compromettendo anch’essi il Pixel 10. Per questo hack, la squadra ha ricevuto il premio massimo di 300.000 dollari USA e 30 punti Master of Pwn.

Il terzo attacco al Google Pixel è stato condotto dai ricercatori della squadra CENSUS Labs — Dimitrios Valsamaras, Ken Gannon e Tenia Valsamara. La loro catena di attacco includeva due vulnerabilità, una delle quali era precedentemente sconosciuta. Di conseguenza, i ricercatori hanno guadagnato 112.500 dollari USA e 22,5 punti Master of Pwn.

In totale, solo gli attacchi al Pixel 10 hanno fruttato ai partecipanti alla competizione 562.500 dollari USA.

La situazione con il Samsung Galaxy S26 non è stata affatto migliore: questo smartphone è stato hackerato con successo in tutti e sette i tentativi inizialmente previsti per Pwn2Own. Si segnala che almeno parte delle vulnerabilità utilizzate dagli esperti era già conosciuta al produttore, ma al momento della competizione non era stata corretta.

Inoltre, i ricercatori hanno dimostrato attacchi all’agente IA OpenAI Codex, all’Oracle Autonomous AI Database, alle stampanti Lexmark, Canon e Brother (su una delle quali è stato lanciato con successo Doom), nonché ai dispositivi Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green e Garmin Index BPM.

Vincitore di Pwn2Own Ireland quest’anno è stata la squadra Ikotas Labs, che ha guadagnato 361.000 dollari USA e totalizzato 42,5 punti Master of Pwn. Il secondo posto è andato a Xint con un premio di 240.000 dollari USA, il terzo a Team ZyGoat con 125.000 dollari USA.

In tre giorni di competizione, i partecipanti hanno portato a termine con successo 51 delle 63 tentate di hack previste. È degno di nota che a Pwn2Own quest’anno sia stato presentato anche l’iPhone 17 (con un premio massimo per l’hack di 300.000 dollari USA), ma alla fine nessuno ha osato attaccarlo.

Ora i produttori hanno 90 giorni per rilasciare i patch. Dopo questo periodo, gli esperti di Trend Micro Zero Day Initiative renderanno pubblici i dettagli di tutte le vulnerabilità dimostrate nella competizione.

Per confronto, a Pwn2Own Ireland 2025 i ricercatori hanno dimostrato 73 vulnerabilità zero-day e hanno guadagnato 1.024.750 dollari USA.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response