Pwn2Own Berlin 2026: Hacker decken 24 Zero-Day-Lücken in gängiger Software auf
Sebastian Voigt
Pwn2Own Berlin 2026: Hacker decken 24 Zero-Day-Lücken in gängiger Software auf
Erster Tag des Pwn2Own Berlin 2026: Hacker nutzen 24 Zero-Day-Schwachstellen in gängiger Software aus
Am ersten Tag des Pwn2Own Berlin 2026 gelang es Hackern, 24 bisher unbekannte Sicherheitslücken in weitverbreiteter Software auszunutzen. Die Teilnehmer konzentrierten sich auf bekannte Plattformen und erhielten hohe Prämien für ihre Entdeckungen. Der Wettbewerb startete mit spektakulären Angriffen und beeindruckenden Auszahlungen für die Sicherheitsforscher.
Das DEVCORE Research Team führte nach dem ersten Tag die Rangliste mit 205.000 US-Dollar an. Ihr erfolgreichster Teilnehmer, Orange Tsai, kombinierte vier logische Fehler, um aus der Microsoft-Edge-Sandbox auszubrechen, und sicherte sich damit 175.000 Dollar. Dieser Angriff setzte früh einen hohen Maßstab für den Wettbewerb.
Auch Valentina Palmiotti von IBM X-Force Offensive Research machte mit zwei separaten Zero-Day-Schwachstellen auf sich aufmerksam und erhielt dafür 70.000 Dollar. Gleichzeitig erzielte STARLabs SG eine Prämie von 40.000 Dollar für eine Lücke in LM Studio, was die Bilanz des Tages weiter erhöhte.
Windows 11 war ein beliebtes Ziel – drei erfolgreiche Angriffe brachten jeweils 30.000 Dollar ein. Andere Forscher konzentrierten sich auf KI-Plattformen: Zwei unabhängige Teams nutzten Schwachstellen in OpenAIs Codex-Coding-Agent aus und erhielten jeweils 40.000 Dollar. k3vg3n stach hervor, indem er drei Fehler kombinierte, um LiteLLM zu kompromittieren, und sicherte sich damit weitere 40.000 Dollar.
Satoki Tsuji von Ikotas Labs trug zur Ausbeute bei, indem er eine übermäßig großzügige Zulassungslisten-Schwachstelle in NVIDIA Megatron Bridge aufdeckte – eine Entdeckung, die ihm 20.000 Dollar einbrachte und einen ereignisreichen ersten Tag abrundete.
Am zweiten Tag rücken neue Ziele in den Fokus, darunter Microsoft SharePoint, Microsoft Exchange, Apple Safari und Mozilla Firefox. Zudem werden weitere KI-Plattformen ins Visier genommen, während der Wettbewerb fortschreitet.
Der erste Tag endete mit 22 erfolgreichen Angriffen und insgesamt 24 ausgenutzten Zero-Day-Lücken. Die Forscher gingen mit beträchtlichen Prämien nach Hause und demonstrierten damit die anhaltenden Sicherheitsrisiken in weitverbreiteter Software. Die Ergebnisse dürften in den kommenden Wochen zu Updates und Patches der betroffenen Hersteller führen.
