Cercetători au exploatat 15 vulnerabilități zero-day la Pwn2Own Berlin 2026 - Microsoft Exchange și Windows 11, compromise deși rulau versiuni la zi

Pwn2Own Berlin arată că inclusiv sisteme „la zi” rămân vulnerabile , după ce cercetători au exploatat, într-o singură zi, 15 breșe necunoscute anterior în produse folosite pe scară largă în companii, inclusiv Microsoft Exchange și Windows 11, potrivit WinFuture . Organizatorii au plătit în total 385.750 de dolari (aprox. 1,77 milioane lei) în premii în ziua a doua a competiției, un semnal că suprafața de atac rămâne relevantă chiar și pe sisteme complet actualizate. De ce contează pentru companii: 90 de zile până la publicarea detaliilor Competiția impune ca toate țintele să ruleze cele mai noi versiuni de sistem de operare, iar fiecare demonstrație să includă un exploit real care ajunge până la execuție de cod arbitrar. După validare, producătorii au la dispoziție 90 de zile pentru a remedia problemele înainte ca detaliile tehnice să devină publice. Pentru organizații, această fereastră este critică: riscul operațional nu vine doar din existența vulnerabilităților, ci din faptul că, după publicare, tehnicile pot fi replicate mai ușor și pot alimenta valuri de atacuri. Cele mai relevante exploatări din ziua a doua Momentul central al zilei a fost un atac de tip „remote code execution” (execuție de cod de la distanță) în Microsoft Exchange, obținut prin combinarea a trei vulnerabilități, cu drepturi de sistem. Potrivit materialului, autorul a fost Cheng-Da Tsai (Orange Tsai) de la DEVCORE, iar recompensa pentru această „cascadă” a fost de 200.000 de dolari (aprox. 920.000 lei). Alte demonstrații menționate: Windows 11 : exploatat printr-o vulnerabilitate de tip „integer overflow” (depășirea limitei unei valori numerice), pentru 7.500 de dolari (aprox. 34.500 lei). Red Hat Enterprise Linux (workstations) : escaladare de privilegii până la „root” (cel mai înalt nivel de acces), recompensată cu 10.000 de dolari (aprox. 46.000 lei). NVIDIA Container Toolkit : exploatat de două ori prin erori „use-after-free” (utilizarea unei zone de memorie după ce a fost eliberată). Și instrumentele cu inteligență artificială au fost ținte În zona de inteligență artificială, cercetătorii au demonstrat că asistenți moderni de programare precum Cursor AI sau motorul OpenAI Codex pot avea, la rândul lor, vulnerabilități de tip „zero-day” (breșe necunoscute public și fără patch la momentul descoperirii). Premiile pentru aceste exploatări au fost între 15.000 și 30.000 de dolari (aprox. 69.000–138.000 lei). Context: și prima zi a adus lovituri pentru Windows 11 și Edge WinFuture notează că, încă din prima zi, Windows 11 și Microsoft Edge au fost compromise de mai multe ori, inclusiv printr-un „sandbox escape” (ieșire din mediul izolat de securitate) în Edge, care i-a adus lui Orange Tsai încă 175.000 de dolari (aprox. 805.000 lei). Au existat însă și încercări eșuate, inclusiv pe SharePoint și Mozilla Firefox, din cauza limitelor de timp ale competiției. Pentru mediul enterprise, concluzia practică este că „patch-uitul” rămâne necesar, dar nu suficient: competiția evidențiază cât de repede pot fi găsite lanțuri de exploatare chiar și pe configurații actualizate, iar următoarele 90 de zile vor fi esențiale pentru ritmul cu care furnizorii livrează remedieri și pentru viteza cu care organizațiile le aplică. [...]