Hackers exploit 32 zero-days on first day of Pwn2Own Ireland

Pwn2Own Ireland 2026 : Déferlante de vulnérabilités « zero-day »

Lors de la première journée du concours Pwn2Own Ireland 2026, les chercheurs en sécurité ont démontré l’exploitation de 32 vulnérabilités zero-day, générant un total de 388 500 $ de récompenses. Cette compétition vise à identifier les failles critiques dans une large gamme d’équipements avant qu’elles ne soient exploitées par des acteurs malveillants.

Points clés :

• Cibles majeures : Le smartphone Samsung Galaxy S26 a été piraté à deux reprises. D’autres cibles incluaient des imprimantes multifonctions (Lexmark, Canon), des dispositifs domotiques (Philips Hue, Sonos), ainsi que des infrastructures IA et des outils de développement (Oracle Autonomous AI Database, OpenAI Codex, LiteLLM).
• Performance remarquable : Les chercheurs Vũ Chí Thành et Huỳnh Đức Tin (VinSOC) ont dominé le classement en utilisant des chaînes d’exploitation complexes (7 failles pour le Philips Hue Bridge Pro et 5 failles pour Oracle Autonomous AI Database).
• Divulgation responsable : Conformément aux règles du ZDI (Zero Day Initiative), les constructeurs disposent de 90 jours pour déployer des correctifs avant la divulgation publique des vulnérabilités.

Vulnérabilités :

• L’article ne mentionne aucun identifiant CVE spécifique, car les failles sont actuellement traitées en tant que “zero-day” (non corrigées).
• Certaines des vulnérabilités exploitées lors des démonstrations étaient déjà connues des constructeurs, mais non corrigées.

Recommandations :

• Pour les constructeurs : Prioriser le déploiement des correctifs de sécurité dans le délai imparti de 90 jours.
• Pour les utilisateurs et entreprises : Surveiller les annonces de mises à jour de sécurité des fournisseurs concernés (Samsung, Philips Hue, Oracle, Sonos, fabricants d’imprimantes, etc.) et appliquer les correctifs dès leur publication pour se protéger contre ces vecteurs d’attaque désormais identifiés.

Source