Bleeping Computer: Samsung Galaxy S26, Pwn2Own Ireland'da üç kez daha hack'lendi
Pwn2Own Ireland 2026'nın ikinci gününde güvenlik araştırmacıları, 45 farklı sıfırıncı gün (zero-day) açığından yararlanarak toplam 232.500 dolarlık nakit ödül kazandı.
Günün öne çıkan olayı, Samsung Galaxy S26 amiral gemisi cihazının KAIST Hacking Lab'den Kyeongmin Kim, PetoWorks ve Mobile Hacking Lab'den Dimitrios Valsamaras ile Ken Gannon tarafından üç kez hack'lenmesiydi.
RET2 Systems'den Jack Dates, bir dakikadan kısa sürede bir Sonos Era 300 istismar zincirini (exploit chain) başarıyla sergiledi; Out of Bounds ekibinden HaeJung Yang ise Yapay Zeka Altyapısı kategorisinde Dynamo'yu hack'lediği için 40.000 dolar ödül kazandı.
PetoWorks, Xint'ten Yves Bieri, Kyeongmin Kim, _McCaulay ve Doyensec'ten Yassine Bengana ile Maxence Schmitt, Home Assistant Green akıllı ev merkezini hack'lerken; Ikotas Labs, yedi aşamalı bir sıfırıncı gün istismar zinciri kullanarak Oracle Autonomous AI Database'e sızdı.
İkinci gün başlamadan önce Kyeongmin Kim, Google Pixel 10'u hedef alan USB tabanlı bir saldırı girişiminden vazgeçti.
Trend Micro'nun Zero Day Initiative (ZDI) birimi tarafından düzenlenen bu yarışma, saldırganlar gerçek dünyada istismar etmeden önce, tamamen güncellenmiş cihazlardaki sıfırıncı gün açıklarını tespit etmeyi amaçlıyor. Pwn2Own kurallarına göre tüm cihazlar en son aygıt yazılımı (firmware) sürümlerini çalıştırıyor ve yarışmacıların hedefi ele geçirip rastgele kod yürütme yeteneğini kanıtlamaları gerekiyor.
Sıfırıncı gün açıkları Pwn2Own'da istismar edilip ifşa edildikten sonra, yazılım üreticilerinin ZDI bunları kamuoyuna açıklamadan önce yamalamak için 90 günlük bir süreleri bulunuyor.
Pwn2Own Ireland İkinci Gün Liderlik Tablosu (ZDI)
Pwn2Own Ireland 2026 yarışması boyunca katılımcılar; cep telefonları (Samsung Galaxy S26 ve Google Pixel 10), mesajlaşma uygulamaları, akıllı ev cihazları, yazıcılar, yapay zeka altyapısı, yapay zeka kodlama uygulamaları ve bilgisayar korsanlarının sağlık ve zindelik (wellness) cihazlarını istismar etmeye çalışacakları yeni bir kategori dahil olmak üzere yedi farklı kategorideki ürünleri hedef alıyor. Uzaktan gerçekleştirilecek bir saldırı için 300.000 dolarlık en yüksek ödülün belirlendiği Apple iPhone 17 de potansiyel hedefler arasındaydı; ancak hiçbir yarışmacı bu cihazı hedefleyen bir girişimde bulunmak üzere kayıt yaptırmadı.
Interrupt Labs, Ikotas Labs ve Viettel Cyber Security'den Nguyen Thanh Dat, yarışmanın ilk gününde Samsung'un amiral gemisi Galaxy S26 modelini de hack'ledi; ancak istismar edilen açıkların bazıları üretici tarafından halihazırda biliniyordu.
İlk gün liderlik tablosunun zirvesinde yer alan VinSOC ekibinden Vũ Chí Thành ve Huỳnh Đức Tin, Oracle Autonomous AI Database'i hedef alan beşli bir "zero-day" (sıfırıncı gün) istismar zinciri sayesinde 40.000 dolar; ayrıca Philips Hue Bridge Pro akıllı aydınlatma merkezini istismar etmek üzere yedi "zero-day" açığını birleştirdikleri çalışma için de ilave 40.000 dolar ödül kazandı.
Üçüncü günde güvenlik araştırmacıları; çeşitli akıllı ev cihazlarını, yapay zeka altyapılarını ve yazıcıları, ayrıca Samsung Galaxy S26 ve Google Pixel 10 akıllı telefonlarını yeniden hack'lemeye çalışacaklar.
Pwn2Own Ireland 2025 yarışması sırasında hackerlar, toplam 1.024.750 dolar ödül kazanmak amacıyla 73 adet "zero-day" açığını başarıyla sergiledi. Yarışmayı kazanan Summoning Team; Samsung Galaxy S25, Home Assistant Green, QNAP TS-453E NAS ve çeşitli Synology cihazlarını hack'leyerek toplam 187.500 dolar ödülün sahibi oldu.
Kaynak: Samsung Galaxy S26 hacked three more times at Pwn2Own Ireland - Sergiu Gatlan / Bleeping Computer
.