Mehr als 1,2 Millionen US-Dollar an Preisgeldern, 98 entdeckte Sicherheitslücken und erfolgreiche Angriffe auf Smartphones und Drucker: Beim dreitägigen Hacking-Wettbewerb Pwn2Own Ireland haben internationale Sicherheitsforscher Schwachstellen in zahlreichen Geräten und Systemen aufgedeckt. Veranstalter TrendAI, der Cybersecurity-Geschäftsbereich von Trend Micro, zahlte insgesamt 1.262.000 US-Dollar an die Teilnehmer aus.

Im Mittelpunkt standen unter anderem Mobiltelefone, Smart-Home-Geräte, Wearables, Drucker sowie Systeme rund um künstliche Intelligenz. Die gefundenen Zero-Day-Schwachstellen waren zum Zeitpunkt ihrer Entdeckung noch unbekannt. Solche Sicherheitslücken können Angreifer ausnutzen, bevor ein entsprechender Schutz durch ein Update verfügbar ist.

Google Pixel 10 erfolgreich angegriffen

Den Titel "Master of Pwn" sicherte sich das Team Ikotas Labs aus Japan. Es erhielt dafür 300.000 US-Dollar. Den Forschern gelang es, mehrere Schwachstellen miteinander zu kombinieren und so das Google Pixel 10 zu kompromittieren. Das Team ist laut Veranstalter das erste aus Japan, das diesen Titel gewann.

Den zweiten Platz belegte Xint. Das Team erhielt 150.000 US-Dollar für die erfolgreiche Demonstration eines sogenannten Remote-Exploits gegen das Pixel 10. Bei dieser Angriffsart wird eine Sicherheitslücke aus der Ferne ausgenutzt. Auch ein Drucker wurde zum Ziel eines erfolgreichen Angriffs. Interrupt Labs erhielt 5.000 US-Dollar, nachdem das Team die Kontrolle über einen Lexmark CX532adwe übernommen und das Computerspiel "Doom" auf dessen Bildschirm gestartet hatte.

Kreditkarten-Hackerinnen durch Hack selbst entlarvt

i

?

Warum solche Tests wichtig sind

Bei Pwn2Own demonstrieren Sicherheitsforscher ihre Angriffe unter kontrollierten Bedingungen. Dabei geht es nicht nur darum, einzelne Schwachstellen aufzuspüren. Mehrere Fehler können miteinander kombiniert werden, um die Kontrolle über ein Gerät zu übernehmen. Solche Angriffsketten können auch für Unternehmen relevant sein, etwa wenn vernetzte Systeme im Bankwesen, im Gesundheitsbereich oder in kritischen Infrastrukturen betroffen sind.

Die entdeckten Schwachstellen werden über die TrendAI Zero Day Initiative an die jeweiligen Hersteller gemeldet. Dieser koordinierte Offenlegungsprozess soll ihnen ermöglichen, Sicherheitsprobleme zu untersuchen und durch Updates zu beheben, bevor Kriminelle sie ausnutzen. Wie schnell ein Patch verfügbar ist, hängt allerdings vom jeweiligen Hersteller und der betroffenen Technik ab.

Die Bilder des Tages

i

?

Dustin Childs von der Zero Day Initiative betont zudem den Nutzen für den Schutz von Kunden. Die Erkenntnisse aus den demonstrierten Angriffen sollen in die eigene Sicherheitsforschung einfließen. Dazu zählt auch das sogenannte virtuelle Patching. Dabei werden Schutzmaßnahmen eingesetzt, um bekannte Angriffsmuster abzuwehren, obwohl für die eigentliche Software noch kein reguläres Sicherheitsupdate verfügbar ist.

Auch KI-Systeme geraten ins Visier

Neben klassischen Geräten standen auch KI-Infrastruktur und KI-Coding-Agenten auf dem Programm. Damit reagiert der Wettbewerb auf die wachsende Bedeutung künstlicher Intelligenz in Unternehmen. Je mehr Anwendungen mit sensiblen Daten und internen Systemen verbunden sind, desto wichtiger wird es, mögliche Schwachstellen frühzeitig zu erkennen.

TrendAI zufolge sind Nutzer der Sicherheitsplattform Vision One durch den koordinierten Offenlegungsprozess durchschnittlich 115 Tage früher geschützt als der übrige Markt.

Der nächste Pwn2Own-Wettbewerb ist für Anfang 2027 geplant. Ziel der Veranstaltung ist es, Sicherheitslücken unter kontrollierten Bedingungen aufzudecken und den Herstellern die Möglichkeit zu geben, ihre Produkte rechtzeitig abzusichern.