Windows 11 and Microsoft Edge hacked at Pwn2Own Berlin 2026
Mis à jour :
Pwn2Own Berlin 2026 : Déferlante de failles Zero-Day sur les technologies d’entreprise
Lors de la première journée de la compétition Pwn2Own Berlin 2026, des chercheurs en cybersécurité ont remporté 523 000 $ en exploitant 24 vulnérabilités “zero-day” inédites. L’événement met en lumière la fragilité de logiciels critiques, allant des navigateurs aux infrastructures d’intelligence artificielle et de conteneurisation.
Points clés :
- Cibles majeures : Microsoft Edge, Windows 11, Red Hat Linux, NVIDIA Container Toolkit, ainsi que divers outils d’IA (OpenAI Codex, LiteLLM, LM Studio).
- Performance notable : Orange Tsai a obtenu 175 000 $ en enchaînant quatre bugs logiques pour s’échapper de la “sandbox” (bac à sable) de Microsoft Edge.
- Diversification des menaces : Les attaques ont réussi sur des systèmes entièrement à jour, prouvant l’efficacité des chaînes d’exploits complexes contre les environnements sécurisés.
- Processus de remédiation : Conformément aux règles de la Zero Day Initiative, les éditeurs concernés disposent d’un délai de 90 jours pour développer et déployer des correctifs après la divulgation des vulnérabilités.
Vulnérabilités :
- Aucune référence CVE spécifique n’a été communiquée à ce stade, les failles étant des zero-days récemment découvertes lors du concours. Les détails techniques complets sont en cours d’analyse pour permettre aux éditeurs de corriger ces failles.
Recommandations :
- Veille active : Les administrateurs systèmes et responsables sécurité doivent surveiller les bulletins de sécurité des éditeurs (Microsoft, NVIDIA, Red Hat, etc.) au cours des 90 prochains jours.
- Application rigoureuse des correctifs : Dès la publication des patchs par les fournisseurs dans les semaines à venir, une mise à jour prioritaire des systèmes et des logiciels concernés sera indispensable pour limiter les risques d’exploitation.
- Défense en profondeur : Au-delà des correctifs, il est conseillé de renforcer la segmentation réseau et la surveillance des conteneurs, les outils d’IA et les environnements de travail étant devenus des cibles privilégiées pour l’exécution de code arbitraire.