Pwn2Own Berlin 2026 - Windows 11 och Microsoft Exchange hackade

Pwn2Own Berlin 2026 avslutas idag på OffensiveCon-konferensenoch över två bekräftade dagar är siffrorna betydande. Forskare har samlat in över 908 000 dollar i priser efter att ha demonstrerat 39 unika nolldagssårbarheter över Windows 11, Microsoft Exchange, Microsoft Edge, Red Hat Enterprise Linux, Nvidia-infrastruktur och en rad AI-plattformar. Resultaten från dag 3 återstår att se.

Dag 1 - Edge faller, Windows 11 hackat tre gånger

Dag 1 betalade ut 523 000 dollar över 24 nolldagar. Utmärkande var Orange Tsai från DEVCORE Research Team, som kedjade fyra logiska buggar för att fly från Microsoft Edge sandlåda och tjäna 175 000 dollar i en enda demonstration. Windows 11 hackades tre separata gånger av tre oberoende forskare, som var och en tjänade 30 000 dollar för nolldagar med privilegieskalering. Valentina Palmiotti från IBM X-Force fick 70 000 dollar för två separata exploateringar riktade mot NVIDIA Container Toolkit och Red Hat Linux. AI-kategorin var lika aktiv: LiteLLM, OpenAI Codex, NVIDIA Megatron Bridge, Chroma och LM Studio föll alla på dag 1.

Dag 2 - Utbytet komprometterades för 200 000 dollar

Dag 2 betalade ut 385 750 dollar över 15 nolldagar. Orange Tsai dök upp igenden här gången kedjade han ihop tre buggar för att få fjärrkodsexekvering med SYSTEM-privilegier på en fullt patchad Microsoft Exchange Server, den enskilt mest inkomstbringande exploateringen i tävlingen hittills på 200 000 dollar. Windows 11 hackades igen på dag 2, liksom Cursor AI-kodningsagenten. OpenAI Codex utsattes också en andra gång av en annan forskare.

Kapaciteten packad

Evenemanget nådde full kapacitet för första gången i sin 19-åriga historia. Över 150 forskare avvisades på grund av schemaläggningsgränser, och vissa släppte nolldagar offentligt snarare än att vänta till nästa år. Alla leverantörer har 90 dagar på sig från offentliggörandet att åtgärda de brister som demonstrerades på Pwn2Own.

Notebookcheck täckte Googles bekräftelse av den första AI-utvecklade nolldagen tidigare denna månad, där en AI-modell skrev och distribuerade en funktionell exploatering som riktade sig mot en 2FA-bypass i ett allmänt använt webbadministrationsverktyg