Pwn2Own Berlin 2026 - Windows 11 et Microsoft Exchange piratés

Pwn2Own Berlin 2026 se termine aujourd'hui à la conférence OffensiveConet sur deux jours confirmés, les chiffres sont significatifs. Les chercheurs ont récolté plus de 908 000 dollars de prix après avoir démontré 39 vulnérabilités uniques de type "zero-day" sur Windows 11, Microsoft Exchange, Microsoft Edge, Red Hat Enterprise Linux, l'infrastructure Nvidia et une série de plateformes d'IA. Les résultats du troisième jour ne sont pas encore connus.

Jour 1 - Edge tombe, Windows 11 est piraté trois fois

Le premier jour a permis de débloquer 523 000 dollars pour 24 jours zéro. Orange Tsai, de l'équipe de recherche DEVCORE, s'est distingué en enchaînant quatre bogues logiques pour échapper au bac à sable Microsoft Edge et gagner 175 000 dollars en une seule démonstration. Windows 11 a été piraté à trois reprises par trois chercheurs indépendants, qui ont chacun gagné 30 000 dollars pour une escalade de privilèges. Valentina Palmiotti, d'IBM X-Force, a récolté 70 000 dollars grâce à deux exploits distincts ciblant NVIDIA Container Toolkit et Red Hat Linux. La catégorie de l'IA a été tout aussi active : Litex, OpenAI Codex, NVIDIA Megatron Bridge, Chroma et LM Studio sont tous tombés le 1er jour.

Jour 2 - Un échange compromis pour 200 000 dollars

Le deuxième jour a rapporté 385 750 $ répartis sur 15 jours zéro. Orange Tsai est réapparucette fois, il a enchaîné trois bogues pour obtenir l'exécution de code à distance avec les privilèges SYSTEM sur un serveur Microsoft Exchange entièrement corrigé. Il s'agit de l'exploit le plus rémunérateur de la compétition jusqu'à présent, avec 200 000 $. Windows 11 a de nouveau été piraté le deuxième jour, de même que l'agent de codage Cursor AI. L'OpenAI Codex a également été ciblé pour la deuxième fois par un autre chercheur.

Plein à craquer

L'événement a fait salle comble pour la première fois en 19 ans d'existence. Plus de 150 chercheurs ont été refusés en raison de contraintes de calendrier, certains d'entre eux abandonnant publiquement les journées zéro plutôt que d'attendre l'année prochaine. Tous les fournisseurs disposent de 90 jours à compter de la divulgation pour corriger les failles démontrées lors de Pwn2Own.

Notebookcheck a couvert la confirmation par Google de la première faille de type "zero-day" développée par l'IA Jour zéro développé par l'IA au début du mois, dans lequel un modèle d'IA a écrit et déployé un exploit fonctionnel ciblant un contournement de 2FA dans un outil d'administration web largement utilisé