De Samsung Galaxy S26 is opnieuw drie keer gehackt tijdens de Pwn2Own-wedstrijd in het Ierse Cork. Er vonden gisteren geen pogingen plaats om de Google Pixel 10 of iPhone 17 te hacken. Pwn2Own is een jaarlijks door cybersecuritybedrijf ZDI georganiseerd evenement waarbij onderzoekers worden beloond voor het demonstreren van nog onbekende kwetsbaarheden in allerlei producten. Er zijn verschillende edities van Pwn2Own, met elk een eigen thema, zoals automotive, mobile, industriële controlesystemen, kantoorsoftware en cloud.

Van zes tot en met acht oktober dit jaar vindt in het Ierse Cork Pwn2Own Ireland plaats. Tijdens het evenement kunnen onderzoekers uit verschillende categorieën kiezen, zoals smartphones, printers, smarthome-apparaten, WhatsApp en AI-infrastructuur. De hoogste beloning bedraagt 300.000 dollar. Het bedrag wordt uitgekeerd voor een zeroclick-aanval op WhatsApp en een remote hack van de iPhone 17 of Google Pixel 10.

De remote hacks van de iPhone en Google Pixel mogen plaatsvinden via near field communication (NFC), wifi, bluetooth of de browser waarbij een website wordt bezocht. Een zelfde aanval op de Samsung Galaxy S26 wordt beloond met 50.000 dollar. Volgens de organisatie ligt het bedrag lager omdat de Samsung een eenvoudiger doelwit is. Dat laatste blijkt uit de resultaten. Op dinsdag lukte het drie verschillende onderzoekers al om de S26 te hacken en dat was gisteren wederom het geval.

Het lukte onderzoekers Dimitrios Valsamaras en Ken Gannon om de telefoon door middel van één kwetsbaarheid te hacken. Een dag eerder combineerden onderzoekers meerdere beveiligingslekken om code op de telefoon uit te voeren. De term '1 bug wonder!' zoals ZDI de hack bestempelde bleek terecht, want onderzoeker Kyeongmin Kim die voor de tweede hack verantwoordelijk was had drie kwetsbaarheden nodig, waarvan er al twee bekend bleken te zijn. PetoWorks gebruikte vervolgens voor de derde hack ook drie kwetsbaarheden, die alledrie al eerder waren gebruikt.

Google Pixel 10 Vandaag is de laatste dag van Pwn2Own Ireland, waarbij er drie pogingen gepland staan om de Google Pixel 10 te hacken. Op de eerste dag vond er ook al een poging plaats, maar die mislukte. Gisteren besloot een onderzoeker zijn geplande poging van de Google-telefoon te annuleren. Naast de Pixel 10 staat er ook één hackpoging van de Samsung Galaxy S26 op het dagschema.