Pwn2Own Berlino 2026 - Windows 11 e Microsoft Exchange hackerati

Pwn2Own Berlino 2026 si sta concludendo oggi alla conferenza OffensiveCone in due giorni confermati i numeri sono significativi. I ricercatori hanno raccolto oltre 908.000 dollari in premi dopo aver dimostrato 39 vulnerabilità zero-day uniche in Windows 11, Microsoft Exchange, Microsoft Edge, Red Hat Enterprise Linux, infrastruttura Nvidia e una serie di piattaforme AI. I risultati del terzo giorno devono ancora arrivare.

Giorno 1 - Edge cade, Windows 11 violato tre volte

Il giorno 1 ha pagato a 523.000 dollari in 24 zero-day. A spiccare è stato Orange Tsai del DEVCORE Research Team, che ha concatenato quattro bug logici per sfuggire alla sandbox di Microsoft Edge e guadagnare 175.000 dollari in una sola dimostrazione. Windows 11 è stato violato tre volte da tre ricercatori indipendenti, ognuno dei quali ha guadagnato 30.000 dollari per l'escalation di privilegi zero-days. Valentina Palmiotti di IBM X-Force ha raccolto 70.000 dollari attraverso due exploit separati che hanno come obiettivo NVIDIA Container Toolkit e Red Hat Linux. La categoria AI è stata altrettanto attiva: LiteLLM, OpenAI Codex, NVIDIA Megatron Bridge, Chroma e LM Studio sono caduti tutti nel primo giorno.

Giorno 2 - Scambio compromesso per 200.000 dollari

Il Giorno 2 ha pagato 385.750 dollari in 15 zero-day. Orange Tsai è apparso di nuovoquesta volta concatenando tre bug per ottenere l'esecuzione di codice remoto con privilegi di SISTEMA su un server Microsoft Exchange completamente patchato, il singolo exploit con il guadagno più alto della competizione finora, pari a 200.000 dollari. Windows 11 è stato nuovamente violato nel Giorno 2, così come l'agente di codifica Cursor AI. Anche OpenAI Codex è stato preso di mira per la seconda volta da un altro ricercatore.

Capacità piena

L'evento ha raggiunto la capacità per la prima volta nei suoi 19 anni di storia. Oltre 150 ricercatori sono stati respinti a causa dei limiti di programmazione, con alcuni che hanno abbandonato pubblicamente gli zero-days piuttosto che aspettare l'anno prossimo. Tutti i venditori hanno 90 giorni di tempo dalla divulgazione per applicare una patch alle falle dimostrate al Pwn2Own.

Notebookcheck si è occupato della conferma da parte di Google del primo Zero-day sviluppato dall'AI all'inizio di questo mese, in cui un modello di AI ha scritto e distribuito un exploit funzionale che mirava a un bypass 2FA in uno strumento di amministrazione web molto utilizzato