Pwn2Own Ireland cierra con 98 fallas inéditas y ataques remotos contra Pixel 10

Pwn2Own Ireland 2026 concluyó con 1,262 millones de dólares en recompensas por 98 vulnerabilidades inéditas demostradas durante tres días. El concurso exige objetivos actualizados y entrega los detalles a los fabricantes bajo divulgación coordinada, por lo que la información técnica completa permanece reservada mientras se preparan parches.

En la última jornada, tres equipos lograron compromisos remotos del Google Pixel 10. Ikotas Labs encadenó múltiples fallas, obtuvo 300.000 dólares por ese intento y terminó como Master of Pwn con 42,5 puntos y 361.000 dólares acumulados. Hubo además explotaciones exitosas contra Oracle Autonomous AI Database, Home Assistant Green, impresoras Brother, Canon y Lexmark, Philips Hue Bridge Pro y Samsung Galaxy S26.

Varios intentos fueron clasificados como collision: el fabricante o el programa ya conocía una o más fallas de la cadena, aunque aún no estuvieran corregidas públicamente. No todos los resultados representan, por tanto, vulnerabilidades completamente nuevas; el total del concurso cuenta los errores inéditos identificados a través de todas las cadenas.

El evento prueba explotabilidad bajo condiciones controladas, no demuestra ataques activos. Sin identificadores CVE ni versiones corregidas para la mayoría de los hallazgos, tampoco es posible convertir cada resultado en una regla operativa específica.

Las organizaciones no deberían improvisar mitigaciones basadas en el nombre del producto. Sí pueden reducir superficie y preparar una actualización rápida cuando los fabricantes publiquen boletines.