Pwn2Own Ireland 2026: Zero-Days gegen Galaxy S26 und Hue Bridge

Am ersten Tag von Pwn2Own Ireland 2026 haben Sicherheitsforscher 32 Zero-Day-Lücken demonstriert und dafür 388.500 US-Dollar erhalten. Das geht aus den offiziellen Tagesergebnissen der Zero Day Initiative hervor, die das Aviatrix Threat Research Center in seiner Zusammenfassung bestätigt.

Bemerkenswert ist weniger die schiere Zahl als die Verteilung: Neben Klassikern wie Smartphones und Druckern geraten erstmals auch KI-Dienste ins Visier. Betroffen sind laut Wettbewerbsberichten unter anderem OpenAI Codex, LiteLLM und Oracles Autonomous AI Database. Patches gibt es bislang nicht – und ob es sie geben wird, hängt an einer Frist, die jetzt zu laufen beginnt.

Pwn2Own Ireland 2026: 32 Zero-Days und 388.500 US-Dollar an Tag eins

Die 32 erfolgreich vorgeführten Exploits konzentrieren sich auf vier Geräteklassen: Mobile, KI-Infrastruktur, Smart Home und Drucker. Tages-Spitzenreiter war nach Angaben von Mallory.ai das Team VinSOC mit 80.000 US-Dollar Preisgeld – es zeichnet auch für die aufwendigste Kette des Tages verantwortlich.

Diese Bandbreite ist ein Signal. Wer KI-Dienste und vernetzte Haushaltsgeräte in denselben Wettbewerb stellt wie Flaggschiff-Smartphones, sagt damit: Die Angriffsfläche hat sich verschoben. Nicht mehr nur das Endgerät in der Hand ist interessant, sondern die Infrastruktur dahinter – und das Zuhause drumherum.

Samsung Galaxy S26 mehrfach kompromittiert

Das Galaxy S26 wurde an Tag eins mehrfach erfolgreich angegriffen. Die ZDI-Ergebnisliste führt mehrere separate Kompromittierungen des Geräts auf, was für die Schwere der gefundenen Lücken spricht: Ein einzelner Erfolg wäre Zufall oder Glück, wiederholte Erfolge gegen dasselbe Modell deuten auf systematische Schwachstellen in der Angriffsfläche hin.

Für Samsung ist das ein unangenehmes Timing. Flaggschiff-Geräte werden typischerweise mit mehrjährigen Sicherheitsupdates beworben – genau deshalb landen sie bevorzugt bei Pwn2Own. Was dort gefunden wird, ist per Definition ungepatcht, und die Details bleiben vorerst unter Verschluss.

Eine offizielle Reaktion des Herstellers ist in den vorliegenden Quellen nicht dokumentiert.

Philips Hue Bridge Pro: Sieben Zero-Days in einer Kette

Deutlich aufwendiger war der Angriff auf die Philips Hue Bridge Pro. Hier kombinierte das Team VinSOC nach übereinstimmenden Berichten sieben einzelne Zero-Day-Lücken zu einer einzigen Exploit-Kette. Das ist bemerkenswert: Eine Kette bedeutet, dass ein Angreifer mehrere Hürden hintereinander überwinden muss – jede einzelne Lücke für sich genommen hätte womöglich nicht ausgereicht.

Die Hue Bridge ist ein besonders sensibler Fall, weil sie kein Nischenprodukt ist, sondern in vielen Haushalten die zentrale Steuerungseinheit für Beleuchtung und teils für weitere Smart-Home-Komponenten. Wer sie kompromittiert, steht mitten im lokalen Netzwerk.

Der Hersteller Signify verweist auf seiner Sicherheitsseite für Philips Hue allgemein auf das eigene Programm zur verantwortungsvollen Offenlegung. Ein vorfallsspezifisches Statement zu Pwn2Own enthält diese Seite jedoch nicht.

KI-Dienste als neuer Angriffsvektor

Die auffälligste Neuerung des diesjährigen Wettbewerbs ist die KI-Kategorie. Dass OpenAI Codex, LiteLLM und Oracles Autonomous AI Database als Ziele auftauchen, markiert einen Wandel: KI-Dienste sind von der Forschungsprojekt-Bühne in die Produktionsinfrastruktur gewechselt – und damit in den Bereich, in dem sich Exploits lohnen.

Der auslösende Golem-Bericht nennt neben den KI-Diensten auch Zero-Day-Lücken in Druckern. Damit bestätigt sich ein Muster, das sich seit Jahren abzeichnet: Je mehr Geräte permanent online sind und Daten verarbeiten, desto breiter wird die Angriffsfläche.

Wie ausnutzbar diese KI-Lücken außerhalb eines kontrollierten Wettbewerbsumfelds tatsächlich sind, lässt sich aus den verfügbaren Angaben nicht ableiten. Sicherheitsforscher arbeiten unter Laborbedingungen mit bekannten Zielversionen und ohne Abwehrmaßnahmen – ein realer Angriff sieht anders aus.

Patch-Status: 90 Tage Frist, keine CVE-IDs

Wer jetzt konkrete Versionsnummern oder CVE-Kennungen sucht, wird nicht fündig. Bis zum Redaktionsschluss wurden weder CVE-IDs noch vollständige Exploit-Details veröffentlicht. Das ist bei Pwn2Own üblich: Die ZDI räumt den Herstellern nach Angaben von Mallory.ai eine Frist von 90 Tagen ein, bevor Details öffentlich werden.

In dieser Zeit müssen die betroffenen Hersteller die Lücken analysieren, Patches entwickeln und ausrollen. Dass bislang keine CVE-IDs vergeben wurden, bedeutet nicht, dass nichts passiert – es bedeutet lediglich, dass der Prozess noch läuft.

Für Nutzer ist die wichtigste Konsequenz deshalb eine unbequeme: Es gibt derzeit keine bestätigten Patches oder Workarounds. Wer eine Hue Bridge Pro oder ein Galaxy S26 betreibt, kann in den vorliegenden Quellen keine konkrete Handlungsanweisung finden.

Fazit: Was Nutzer jetzt tun können

Warten ist keine befriedigende Empfehlung, aber derzeit die faktisch einzige. Die 90-Tage-Frist der ZDI ist das Instrument, das den Herstellern Druck macht – nicht eine öffentliche Schwachstellendatenbank. Wer die Entwicklung verfolgen will, sollte die offiziellen ZDI-Ergebnisse und die Sicherheitsseiten von Samsung und Signify im Blick behalten.

Bemerkenswerter als die 32 Zero-Days selbst ist ihre Zusammensetzung. Dass KI-Dienste nun gleichberechtigt neben Smartphones und Smart-Home-Hubs stehen, ist die eigentliche Nachricht des Tages – und sie dürfte sich in kommenden Wettbewerben fortsetzen.

Quellen