为期三天的 Pwn2Own Ireland 2026 大赛结果已公布。参赛者利用智能手机、智能家居设备、打印机和人工智能工具中此前未知的零日漏洞，成功演示了 42 次攻击。这些攻击使用了最新的固件和操作系统，并启用了所有可用更新和默认配置。本次大赛的总奖金高达 1.33 万美元。
执行的攻击：
- 三星 Galaxy S26 智能手机：6 起成功破解事件。赏金分别为：31250 美元、15750 美元、11000 美元、8500 美元和 6250 美元。
- 谷歌Pixel 10智能手机：1起成功黑客攻击事件。赏金150万美元。
- Home Assistant Green智能家居设备：6起成功破解事件。赏金分别为：30000美元、12000美元、7500美元、7000美元、4750美元和4500美元。
- 飞利浦 Hue Bridge Pro 智能灯：4 起成功破解案例。赏金分别为：40000 万美元、12000 万美元、6000 美元和 5000 美元。
- Garmin Index BPM血压监测仪：两次利用缓冲区溢出漏洞成功入侵。赏金分别为2万美元和6750美元。
- Sonos Era 300 智能音箱：5 起成功黑客攻击利用了缓冲区溢出和字符串格式化漏洞。赏金分别为 50000 万美元、17500 万美元、12500 万美元、10500 万美元和 9500 美元。
- Lexmark CX532adw 打印机：5 起利用内存释放后使用漏洞的成功黑客攻击。赏金分别为：20000 美元、10000 美元、5000 美元、5000 美元和 4250 美元。
- 佳能 imageFORCE 1643F 打印机：利用与身份验证缺失、命令替换和预定义固件凭据相关的漏洞，成功入侵一台打印机。已支付 10000 美元赏金。
- Brother MFC-L8970CDW 打印机：破解成功 1 次，已支付赏金。
$ 20000。 - LiteLLM AI网关：两次成功入侵，利用了与输入验证不当和代码替换相关的漏洞。已分别支付4万美元和1.5万美元的罚款。
- Oracle 自治人工智能数据库：5 起成功利用漏洞的案例，涉及释放后使用和类型混淆。赏金分别为：40000 美元、14000 美元、10000 美元、6250 美元和 6000 美元。
- OpenAI Codex AI 代理：利用参数替换漏洞成功入侵一次。已支付 4 万美元罚款。
- Dynamo AI平台：利用缓冲区溢出漏洞成功入侵一次，已支付4万美元罚款。
- Chroma vector DBMS：两次成功破解。分别支付了 12000 美元和 4500 美元。
除了上述成功的攻击之外，还有九次利用漏洞的尝试失败了，所有失败的原因都是因为攻击团队未能在规定时间内完成攻击。
对Brother MFC-L8970CDW打印机的破解尝试均未成功。
Lexmark CX532adwe、Garmin Index BPM 血压计、Google Pixel 10 智能手机、Chroma 数据库和 Home Assistant Green 家庭自动化系统。
该问题的具体组成部分尚未报告。 根据竞赛条款，所有已展示的0day漏洞的详细信息将在90天后公布，以供制造商准备消除漏洞的更新。
来源： opennet.ru
