Pwn2Own Berlin 2026: 24 Zero-Day-Lücken an nur einem Tag aufgedeckt
Erster Tag des Pwn2Own Berlin 2026: Hacker decken 24 Zero-Day-Schwachstellen auf
Am ersten Tag des Pwn2Own Berlin 2026 entdeckten Sicherheitsforscher 24 bisher unbekannte Schwachstellen in führenden Softwareplattformen. Durch die erfolgreiche Ausnutzung von Lücken in Systemen von Microsoft, NVIDIA, OpenAI und anderen erzielten die Teilnehmer insgesamt 523.000 US-Dollar Prämien. Bei der Veranstaltung wurden 22 Einzelbeiträge eingereicht, wobei innerhalb weniger Stunden mehrere spektakuläre Angriffe gemeldet wurden.
Einer der höchsten Gewinnposten ging an Orange Tsai vom DEVCORE Research Team, der vier logische Fehler kombinierte, um aus der Microsoft-Edge-Sandbox auszubrechen. Für diesen Exploit erhielt er 175.000 Dollar – sein Team führt damit mit insgesamt 205.000 Dollar die Wertung an.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Windows 11 stand dreimal im Fokus der Angreifer; für jede erfolgreiche Kompromittierung erhielten die Forscher 30.000 Dollar. Unterdessen demonstrierte k3vg3n eine komplexe Kette aus drei Schwachstellen, um LiteLLM zu überwinden, wofür er 40.000 Dollar kassierte.
Der OpenAI-Codex-Coding-Agent wurde von zwei unabhängigen Teams jeweils erfolgreich angegriffen, die dafür 40.000 Dollar pro Exploit einstrichen. STARLabs SG sicherte sich ebenfalls 40.000 Dollar für die Entdeckung einer Zero-Day-Lücke in LM Studio. Valentina Palmiotti von IBM X-Force Offensive Research erzielte mit zwei separaten Exploits insgesamt 70.000 Dollar, während Satoki Tsuji von Ikotas Labs eine zu großzügig konfigurierte Zulassungsliste in NVIDIAs Megatron Bridge aufdeckte und dafür 20.000 Dollar erhielt.
Am Ende des ersten Tages führte das DEVCORE Research Team mit 205.000 Dollar die Rangliste an. Die Veranstaltung offenbarten kritische Sicherheitslücken in weitverbreiteter Software und zeigten, wie raffiniert moderne Angriffsmethoden sein können. Die Organisatoren bestätigten, dass alle gemeldeten Schwachstellen an die betroffenen Hersteller weitergeleitet werden, um entsprechende Patches zu entwickeln.
