Les chercheurs de Pwn2Own Ireland 2026 ont multiplié les compromissions de smartphones pourtant actualisés, révélant des failles exploitables à distance.
Pwn2Own Ireland 2026 s’achève sur 98 vulnérabilités zero-day et 1 262 000 dollars de récompenses, soit environ 1 128 200 euros. Pendant trois jours, 29 équipes ont ciblé sept catégories de produits, des smartphones aux infrastructures d’intelligence artificielle. Le Google Pixel 10 a été compromis trois fois à distance, tandis que le Samsung Galaxy S26 a cédé lors des sept tentatives annoncées.
Trois attaques à distance contre le Pixel 10
Un téléphone à jour, aucune prise en main physique et, malgré ces conditions, une compromission réussie. Le Pixel 10 a concentré les regards pendant la dernière journée de Pwn2Own Ireland. Trois équipes ont successivement démontré qu’elles pouvaient attaquer le smartphone de Google à distance.
Tim Becker et Yves Bieri, de Xint, ont ouvert cette série avec l’exploitation d’une seule vulnérabilité. Leur tentative a toutefois rencontré une « collision », terme utilisé lorsque la faille présentée est déjà connue dans le cadre du concours. Cette particularité n’annule pas la réussite technique, mais intervient dans l’attribution de la récompense. Le duo a obtenu 150 000 dollars, environ 134 100 euros, et 15 points au classement Master of Pwn.
Ikotas Labs a ensuite compromis le même modèle en combinant plusieurs problèmes dans une chaîne d’exploitation. Cette démonstration lui a rapporté 300 000 dollars, soit environ 268 200 euros, ainsi que 30 points. Une récompense décisive dans la course au titre.
La troisième réussite revient à Dimitrios Valsamaras, Ken Gannon et Tenia Valsamara. Leur attaque associait deux vulnérabilités, dont une inédite et une collision. Elle leur a valu 112 500 dollars, environ 100 600 euros, et 22,5 points. Le compte rendu officiel mentionne notamment Mobile Hacking Lab, Djini.ai et CENSUS Labs pour présenter les participants et leurs affiliations.
Le Galaxy S26 a, lui aussi, accumulé les compromissions : les sept tentatives annoncées ont abouti. Certaines vulnérabilités étaient déjà connues de Samsung, selon les éléments rapportés, tout en restant exploitables pendant la compétition.
Cette précision compte. Une faille connue du fabricant ne signifie pas nécessairement qu’un correctif est disponible pour les utilisateurs. Inversement, une collision ne permet pas de présenter chaque composant d’une chaîne d’attaque comme une découverte entièrement nouvelle. Le bilan doit donc distinguer les attaques réussies, les vulnérabilités inédites et les problèmes déjà signalés.
L’IA et les objets connectés élargissent les cibles
Les smartphones n’occupaient qu’une partie du programme. Les équipes intervenaient également sur les infrastructures d’IA, les outils de programmation assistée, les messageries, les équipements domotiques, les imprimantes et les appareils de suivi de santé.
Parmi les produits visés figuraient OpenAI Codex et Oracle Autonomous AI Database. Les démonstrations concernaient aussi des imprimantes Lexmark, Canon et Brother, ainsi que Sonos Era 300, Philips Hue Bridge Pro, Home Assistant Green et Garmin Index BPM. Sur une imprimante, les chercheurs ont même fait fonctionner Doom, illustration visuelle d’une prise de contrôle technique.
Le cadre du concours impose des versions logicielles et des micrologiciels actualisés. Les réussites montrent ainsi que l’installation des correctifs disponibles ne supprime pas les vulnérabilités encore inconnues ou non corrigées. Elles ne permettent toutefois pas, à elles seules, d’affirmer que ces méthodes sont déjà utilisées contre des utilisateurs.
Ikotas Labs termine en tête avec 42,5 points Master of Pwn et 361 000 dollars, environ 322 700 euros. Xint suit avec 240 000 dollars, environ 214 600 euros. Team ZyGoat complète le podium avec 125 000 dollars, soit environ 111 700 euros.
Le bilan : 51 tentatives réussies sur 63 programmées. L’iPhone 17 figurait également parmi les cibles possibles, avec une prime maximale de 300 000 dollars, environ 268 200 euros. Aucun concurrent n’a enregistré de tentative contre lui. Cette absence ne constitue donc pas une démonstration de résistance du téléphone.
Les fabricants disposent désormais d’une fenêtre de 90 jours avant la divulgation publique des détails par la Zero Day Initiative. L’enjeu se déplace vers les correctifs : les démonstrations ont établi des possibilités d’exploitation, mais leur traitement déterminera la réduction effective de l’exposition.