In questo articolo Indice dei contenuti 2 sezioni
Samsung Galaxy S26 è stato violato altre tre volte durante la seconda giornata del Pwn2Own Ireland 2026, la competizione di sicurezza informatica in cui i ricercatori provano a forzare dispositivi aggiornati all’ultimo firmware disponibile. Nel giro di una sola giornata sono state sfruttate 45 vulnerabilità zero day uniche, con premi in denaro che hanno raggiunto complessivamente circa 200.000 euro.
A mettere a segno i tre attacchi riusciti contro il top di gamma sudcoreano sono stati Kyeongmin Kim di KAIST Hacking Lab, il team PetoWorks e la coppia formata da Dimitrios Valsamaras e Ken Gannon di Mobile Hacking Lab. Non si tratta però delle prime incursioni ai danni di Galaxy S26, perché già nella giornata d’apertura Interrupt Labs, Ikotas Labs e Nguyen Thanh Dat di Viettel Cyber Security erano riusciti a superarne le difese. In quel caso, va detto, alcuni dei bug utilizzati erano già noti al produttore.
Dagli speaker Sonos ai database Oracle, gli altri colpi della giornata
Lo smartphone Samsung non è stato l’unico bersaglio a cadere. Jack Dates di RET2 Systems ha mostrato una catena di exploit contro lo speaker Sonos Era 300 portata a termine in meno di un minuto. HaeJung Yang del team Out of Bounds si è invece aggiudicata circa 34.000 euro per aver bucato Dynamo nella categoria riservata all’infrastruttura per l’intelligenza artificiale.
Anche l’hub per la casa intelligente Home Assistant Green ha ceduto più volte. A violarlo sono stati PetoWorks, Yves Bieri di Xint, Kyeongmin Kim, _McCaulay e la coppia di Doyensec composta da Yassine Bengana e Maxence Schmitt. Ikotas Labs, dal canto suo, è riuscita a penetrare Oracle Autonomous AI Database concatenando sette falle zero day. Prima che la seconda giornata prendesse il via, Kyeongmin Kim aveva però ritirato il suo tentativo di attacco via USB contro Google Pixel 10.
Il primo giorno era stato dominato da Vũ Chí Thành e Huỳnh Đức Tin di VinSOC, saliti in testa alla classifica con un bottino di tutto rispetto. Il duo ha incassato circa 34.000 euro per una catena di cinque zero day contro il database di Oracle e altri 34.000 euro circa per aver messo insieme sette vulnerabilità sconosciute capaci di compromettere Philips Hue Bridge Pro, l’hub dedicato all’illuminazione smart.
Come funziona la gara e cosa aspettarsi nella terza giornata
La competizione è organizzata dalla Zero Day Initiative di Trend Micro con un obiettivo preciso, cioè scovare le falle nei dispositivi completamente aggiornati prima che possano essere sfruttate da malintenzionati nel mondo reale. Il regolamento prevede che tutti i prodotti montino le versioni più recenti del firmware e che i partecipanti, per vedersi riconosciuto l’attacco, dimostrino di poter eseguire codice arbitrario sul bersaglio. Una volta che i difetti vengono sfruttati e comunicati, i produttori hanno 90 giorni per correggerli prima che la ZDI li renda pubblici.
L’edizione irlandese di quest’anno ruota attorno a sette categorie, che spaziano dagli smartphone (con Galaxy S26 e Pixel 10 in prima fila) alle app di messaggistica, passando per dispositivi smart home, stampanti, infrastrutture per l’intelligenza artificiale e app di programmazione basate sull’AI. Debutta inoltre una categoria nuova dedicata ai dispositivi sanitari per il benessere. Anche iPhone 17 figurava tra i possibili obiettivi, con un premio massimo di circa 260.000 euro per un attacco da remoto, ma nessun concorrente si è iscritto per tentare l’impresa.
Il confronto con l’anno scorso dà un’idea della portata dell’evento. Durante Pwn2Own Ireland 2025 gli hacker avevano dimostrato 73 falle zero day, guadagnando in totale circa 880.000 euro. A vincere era stato il Summoning Team, che aveva portato a casa circa 160.000 euro dopo aver violato Samsung Galaxy S25, Home Assistant Green, un NAS di QNAP e diversi dispositivi Synology.
Nella terza giornata i ricercatori proveranno a violare diversi dispositivi per la casa intelligente, sistemi di infrastruttura AI e stampanti. Nel mirino torneranno anche gli smartphone, con Galaxy S26 e Google Pixel 10 pronti a essere messi di nuovo sotto pressione.
Fonte: TecnoAndroid
