Pwn2Own Berlijn 2026 - Windows 11 en Microsoft Exchange gehackt

Pwn2Own Berlijn 2026 wordt vandaag afgesloten op de OffensiveCon conferentieen over twee bevestigde dagen zijn de cijfers aanzienlijk. Onderzoekers hebben meer dan $908.000 aan prijzen verzameld na het demonstreren van 39 unieke zero-day kwetsbaarheden in Windows 11, Microsoft Exchange, Microsoft Edge, Red Hat Enterprise Linux, Nvidia-infrastructuur en een reeks AI-platforms. De resultaten van dag 3 moeten nog komen.

Dag 1 - Edge valt, Windows 11 drie keer gehackt

Dag 1 betaalde $523.000 uit over 24 zero-days. De uitschieter was Orange Tsai van het DEVCORE Research Team, die vier logische bugs aan elkaar ketende om uit de Microsoft Edge sandbox te ontsnappen en $175.000 te verdienen in één enkele demonstratie. Windows 11 werd drie keer afzonderlijk gehackt door drie onafhankelijke onderzoekers, die elk $30.000 verdienden voor privilege-escalatie zero-days. Valentina Palmiotti van IBM X-Force verzamelde $70.000 met twee afzonderlijke exploits gericht op de NVIDIA Container Toolkit en Red Hat Linux. De categorie AI was even actief: LiteLLM, OpenAI Codex, NVIDIA Megatron Bridge, Chroma en LM Studio vielen allemaal op dag 1.

Dag 2 - Ruil gecompromitteerd voor $200.000

Dag 2 betaalde 385.750 dollar uit in 15 zero-days. Orange Tsai verscheen opnieuwdit keer schakelde hij drie bugs in om op afstand code uit te voeren met SYSTEM-privileges op een volledig gepatchte Microsoft Exchange Server, de hoogst verdienende exploit van de competitie tot nu toe met $ 200.000. Windows 11 werd opnieuw gehackt op Dag 2, net als de Cursor AI-coderingsagent. OpenAI Codex was ook voor de tweede keer het doelwit van een andere onderzoeker.

Volle capaciteit

Het evenement was volgeboekt voor de eerste keer in zijn 19-jarige geschiedenis. Meer dan 150 onderzoekers werden geweigerd vanwege de tijdslimieten, waarbij sommige zero-days publiekelijk lieten vallen in plaats van te wachten tot volgend jaar. Alle leveranciers hebben 90 dagen vanaf de bekendmaking om de gebreken die tijdens Pwn2Own werden gedemonstreerd, te patchen.

Notebookcheck berichtte over Google's bevestiging van de eerste Door AI ontwikkelde zero-day eerder deze maand, waarin een AI-model een functionele exploit schreef en implementeerde die gericht was op een 2FA-bypass in een veelgebruikte webadministratietool