Η πρώτη ημέρα του Pwn2Own Berlin 2026 επιβεβαίωσε για ακόμη μία φορά γιατί ο διαγωνισμός θεωρείται ένα από τα σημαντικότερα γεγονότα στον χώρο της κυβερνοασφάλειας. Ερευνητές ασφαλείας από όλο τον κόσμο κατάφεραν να εκμεταλλευτούν συνολικά 24 μοναδικές zero-day ευπάθειες, αποσπώντας χρηματικά έπαθλα που ξεπέρασαν τα 523.000 δολάρια μέσα σε λίγες μόνο ώρες.
Η φετινή διοργάνωση, που πραγματοποιείται στο πλαίσιο του OffensiveCon στο Βερολίνο, επικεντρώνεται έντονα σε τεχνολογίες τεχνητής νοημοσύνης, cloud υποδομές και enterprise λογισμικό, αποτυπώνοντας τη μετατόπιση του ενδιαφέροντος της βιομηχανίας ασφαλείας προς τα AI εργαλεία και τα σύγχρονα περιβάλλοντα ανάπτυξης.
Η εντυπωσιακή επίθεση στο Microsoft Edge
Το μεγαλύτερο ενδιαφέρον συγκέντρωσε η επίδειξη του γνωστού ερευνητή Orange Tsai, ο οποίος κατάφερε να παραβιάσει το Microsoft Edge χρησιμοποιώντας αλυσίδα τεσσάρων διαφορετικών logic bugs. Η επίθεση οδήγησε σε sandbox escape.
Δείτε επίσης: CVE-2026-42897: Ενεργή εκμετάλλευση ευπάθειας Exchange Server
Για το exploit αυτό, ο Orange Tsai έλαβε συνολικά 175.000 δολάρια, καταγράφοντας μέχρι στιγμής τη μεγαλύτερη αμοιβή της διοργάνωσης. Το συγκεκριμένο exploit θεωρείται ιδιαίτερα σημαντικό, καθώς οι sandbox escape επιθέσεις παραμένουν από τις πιο πολύπλοκες και επικίνδυνες τεχνικές στον χώρο των browsers.
Οι σύγχρονοι browsers βασίζονται σε sandbox μηχανισμούς ώστε να απομονώνουν κακόβουλο κώδικα από το λειτουργικό σύστημα. Όταν ένας ερευνητής καταφέρνει να “σπάσει” αυτή την απομόνωση, αποδεικνύει ότι ένας επιτιθέμενος θα μπορούσε θεωρητικά να αποκτήσει πολύ ευρύτερο έλεγχο στη συσκευή του χρήστη.
Windows 11 και Linux στο στόχαστρο των ερευνητών
Τα Windows 11 αποτέλεσαν, επίσης, βασικό στόχο του διαγωνισμού. Οι Angelboy και TwinkleStar03 από το πρόγραμμα πρακτικής άσκησης της DEVCORE, μαζί με τους Marcin Wiązowski και Kentaro Kawane της GMO Cybersecurity, παρουσίασαν επιτυχημένες επιθέσεις local privilege escalation.
Κάθε ομάδα απέσπασε 30.000 δολάρια για νέα zero-day exploits που επέτρεπαν ανύψωση δικαιωμάτων στο λειτουργικό σύστημα της Microsoft. Οι επιθέσεις αυτού του τύπου είναι ιδιαίτερα κρίσιμες, καθώς μπορούν να μετατρέψουν περιορισμένη πρόσβαση χρήστη σε πλήρη έλεγχο συστήματος.
Παράλληλα, η Valentina Palmiotti από την IBM X-Force Offensive Research κατάφερε να αποκτήσει root πρόσβαση σε Red Hat Linux for Workstations, κερδίζοντας 20.000 δολάρια. Η ίδια ερευνήτρια εντυπωσίασε και με zero-day exploit στο NVIDIA Container Toolkit, προσθέτοντας ακόμη 50.000 δολάρια στα συνολικά κέρδη της.
Το γεγονός ότι Linux περιβάλλοντα και container εργαλεία βρέθηκαν στο επίκεντρο του Pwn2Own δείχνει πόσο σημαντική έχει γίνει πλέον η ασφάλεια cloud-native υποδομών και AI clusters.
Δείτε επίσης: Νέα ευπάθεια στο PraisonAI: Στόχευση λίγες ώρες μετά την αποκάλυψη
Η τεχνητή νοημοσύνη μπαίνει στο επίκεντρο του hacking
Ένα από τα πιο ενδιαφέροντα στοιχεία της φετινής διοργάνωσης είναι η ισχυρή παρουσία AI εργαλείων και μεγάλων γλωσσικών μοντέλων στους στόχους των ερευνητών.
Οι Compass Security και maitai της Doyensec κατάφεραν να παραβιάσουν το Codex της OpenAI, κερδίζοντας από 40.000 δολάρια ο καθένας. Αντίστοιχα, επιτυχημένες επιθέσεις καταγράφηκαν σε LiteLLM, NVIDIA Megatron Bridge, Chroma και LM Studio.
Η παρουσία αυτών των εργαλείων στο Pwn2Own αποκαλύπτει ότι η ασφάλεια των AI εφαρμογών εξελίσσεται πλέον σε κορυφαία προτεραιότητα για τη βιομηχανία. Μέχρι πριν λίγα χρόνια, οι διαγωνισμοί hacking επικεντρώνονταν κυρίως σε browsers, hypervisors και λειτουργικά συστήματα. Σήμερα όμως, τα LLMs, τα inference εργαλεία και οι AI πλατφόρμες αντιμετωπίζονται ως κρίσιμες επιφάνειες επίθεσης.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι ειδικοί προειδοποιούν ότι τα AI εργαλεία διαθέτουν τεράστιες δυνατότητες πρόσβασης σε δεδομένα, repositories, API keys και εταιρικές υποδομές, κάτι που τα μετατρέπει σε ελκυστικό στόχο για κυβερνοεγκληματίες.
Η DEVCORE προηγείται στον διαγωνισμό
Μετά την ολοκλήρωση της πρώτης ημέρας, η DEVCORE βρίσκεται στην κορυφή της βαθμολογίας με συνολικά κέρδη 205.000 δολαρίων, ενώ ακολουθεί η Valentina Palmiotti με 70.000 δολάρια.
Οι επόμενες ημέρες αναμένονται ακόμη πιο έντονες, καθώς οι συμμετέχοντες θα επιχειρήσουν να εκμεταλλευτούν zero-days σε Microsoft SharePoint, Exchange Server, Safari, Firefox, Claude Code της Anthropic και άλλες enterprise πλατφόρμες.
Δείτε επίσης: NGINX Rift: Κρίσιμη ευπάθεια 18 ετών επιτρέπει RCE χωρίς πιστοποίηση
Σύμφωνα με τους κανόνες του Pwn2Own, όλοι οι στόχοι εκτελούν πλήρως ενημερωμένες εκδόσεις λογισμικού, γεγονός που σημαίνει ότι οι επιθέσεις βασίζονται αποκλειστικά σε άγνωστες μέχρι σήμερα ευπάθειες.
Μετά την αποκάλυψη των flaws, οι κατασκευαστές διαθέτουν προθεσμία 90 ημερών για να κυκλοφορήσουν patches ασφαλείας. Η διαδικασία αυτή θεωρείται κρίσιμη για το οικοσύστημα κυβερνοασφάλειας, καθώς επιτρέπει τον εντοπισμό σοβαρών αδυναμιών πριν αυτές αξιοποιηθούν από πραγματικούς επιτιθέμενους.
Πηγή: www.bleepingcomputer.com
