Samsung Galaxy S26, Pwn2Own Ireland 2026’nın ikinci gününde üç farklı ekip tarafından gerçekleştirilen saldırılarla hacklendi. Güvenlik araştırmacıları ikinci günde 45 benzersiz sıfır gün açığını kullanarak toplam 232 bin 500 dolar ödül kazandı. Yarışmanın üçüncü gününde Galaxy S26 ile Google Pixel 10’un yanı sıra akıllı ev, yapay zekâ altyapısı ve yazıcı ürünleri yeniden hedef alınacak.
Galaxy S26 İkinci Günde Üç Ayrı Saldırıya Uğradı
Samsung Galaxy S26, Pwn2Own Ireland 2026’nın ikinci gününde KAIST Hacking Lab’den Kyeongmin Kim, PetoWorks ile Dimitrios Valsamaras, Ken Gannon ve CENSUS Labs’den Tenia Valsamara’nın oluşturduğu ekip tarafından ayrı saldırılarla ele geçirildi. Araştırmacılar, yarışma kuralları kapsamında cihazlarda kod çalıştırma yetkisi elde ederek sıfır gün açıklarının gerçek saldırılarda nasıl kullanılabileceğini gösterdi.
İkinci günün öne çıkan diğer saldırılarından birini RET2 Systems’den Jack Dates gerçekleştirdi. Dates, Sonos Era 300 üzerinde hazırladığı istismar zincirini bir dakikadan kısa sürede gösterirken Out of Bounds ekibinden HaeJung Yang, yapay zekâ altyapısı kategorisindeki Dynamo saldırısı nedeniyle 40 bin dolar ödül aldı.
PetoWorks, Xint’ten Yves Bieri, Kyeongmin Kim, _McCaulay ile Doyensec’ten Yassine Bengana ve Maxence Schmitt ise Home Assistant Green akıllı ev merkezini hedef aldı. Ikotas Labs, Oracle Autonomous AI Database üzerinde yedi aşamalı sıfır gün zinciri kullanarak başarılı bir saldırı gerçekleştirdi.
Pwn2Own Ireland 2026’nın ikinci gününde toplam 232 bin 500 dolar ödül dağıtıldı. Yarışmacılar, tamamen güncel cihaz ve yazılım sürümleri üzerinde güvenlik açıklarını zincirleyerek hedef sistemlerde yetkisiz kod çalıştırma elde etmeye çalışıyor.
Trend Micro bünyesindeki Zero Day Initiative tarafından düzenlenen yarışma, üreticilerin tamamen güncellenmiş ürünlerindeki sıfır gün açıklarını saldırganlar kullanmadan önce ortaya çıkarmayı amaçlıyor. Yarışma kuralları, araştırmacıların hedefi başarıyla ele geçirmesini ve saldırı sonucunda rastgele kod çalıştırabildiğini göstermesini gerektiriyor.
Pwn2Own kapsamında ortaya çıkarılan sıfır gün açıkları üreticilere bildirildikten sonra şirketlere düzeltme geliştirmeleri için 90 gün süre tanınıyor. Sürenin ardından Zero Day Initiative, ilgili güvenlik açıklarını kamuya açıklıyor.
Pwn2Own Ireland 2026, mobil cihazlardan yapay zekâ altyapısına kadar farklı teknoloji alanlarını kapsıyor. Yarışmada Samsung Galaxy S26 ile Google Pixel 10 mobil telefon kategorisinde yer alırken mesajlaşma uygulamaları, akıllı ev cihazları, yazıcılar, yapay zekâ altyapısı, yapay zekâ kodlama uygulamaları ve wellness sağlık cihazları da hedefler arasında bulunuyor.
Apple iPhone 17 de uzaktan gerçekleştirilecek bir saldırı için 300 bin dolara kadar ödül sunulan potansiyel hedefler arasında yer alıyor. Ancak ikinci günün başlangıcına kadar iPhone 17 için herhangi bir saldırı girişimi kaydedilmedi.
Kyeongmin Kim ise ikinci gün başlamadan önce Google Pixel 10’a USB üzerinden gerçekleştirilecek saldırı girişiminden çekildi. Pixel 10, yarışmanın üçüncü gününde yeniden hedef alınacak ürünler arasında bulunuyor.
Samsung Galaxy S26, yarışmanın ilk gününde de Interrupt Labs, Ikotas Labs ve Viettel Cyber Security araştırmacısı Nguyen Thanh Dat tarafından hedef alınmıştı. İlk gün gerçekleştirilen bazı saldırılarda kullanılan güvenlik açıklarının Samsung tarafından daha önce bilindiği belirtildi.
İlk günün liderleri arasında yer alan VinSOC araştırmacıları Vũ Chí Thành ile Huỳnh Đức Tin, Oracle Autonomous AI Database üzerinde beş sıfır günlük açıktan oluşan saldırı zinciri kullanarak 40 bin dolar kazandı. İkili ayrıca Philips Hue Bridge Pro akıllı aydınlatma merkezini yedi sıfır gün açığını zincirleyerek hedef aldı ve 40 bin dolar daha elde etti.
Yarışmanın ikinci gününde Galaxy S26’nın üç farklı saldırıyla yeniden ele geçirilmesi, güncel yazılım kullanan mobil cihazların karmaşık saldırı zincirleri karşısında taşıdığı riski ortaya koydu. Araştırmacıların aynı hedef üzerinde farklı yöntemler kullanması, tek bir güvenlik açığının kapatılmasının ardından farklı saldırı yüzeylerinin de incelenmesi gerektiğini gösteriyor.
Pwn2Own Ireland 2026’nın üçüncü gününde araştırmacılar birden fazla akıllı ev, yapay zekâ altyapısı ve yazıcı ürününü hedef alacak. Samsung Galaxy S26 ile Google Pixel 10 da mobil cihaz kategorisindeki yeni saldırı denemelerinde yeniden yarışmacıların karşısına çıkacak.
Pwn2Own Ireland 2025’te araştırmacılar 73 sıfır gün açığını göstererek toplam 1 milyon 24 bin 750 dolar ödül kazanmıştı. Summoning Team, Samsung Galaxy S25, Home Assistant Green, QNAP TS-453E NAS ve çeşitli Synology cihazlarını hackleyerek yarışmayı 187 bin 500 dolarlık ödülle tamamlamıştı.
Pwn2Own Ireland 2026’nın ikinci gününde ortaya çıkan saldırılar, üreticilerin güvenlik güncellemelerini yalnızca bilinen açıklar üzerinden değil, birden fazla açığın zincirlenebileceği saldırı senaryoları üzerinden de değerlendirmesi gerektiğini gösteriyor. Samsung Galaxy S26’nın yarışma boyunca tekrar tekrar hedef alınması, mobil cihaz güvenliğinde sıfır gün araştırmalarının önemini üçüncü gün yapılacak yeni denemelerle birlikte yeniden gündeme taşıyacak.
