Réunies à Cork, en Irlande, du 6 au 8 octobre, 29 équipes de chercheurs ont mis au jour 98 vulnérabilités inédites lors du concours Pwn2Own Ireland 2026, pour un total de 1 262 000 dollars de récompenses, selon le décompte de BleepingComputer. Smartphones Samsung et Google, imprimante Lexmark, enceinte Sonos, outils d’intelligence artificielle : la liste des produits compromis ressemble à l’inventaire d’un bureau ordinaire. Les fabricants disposent désormais de 90 jours pour corriger avant que les détails ne deviennent publics.
Un concours pour trouver les failles avant les criminels
Pwn2Own est organisé par la Zero Day Initiative (ZDI), le programme de recherche de Trend Micro, avec un objectif affiché par BleepingComputer : repérer les failles « zero day », c’est-à-dire encore inconnues des éditeurs, avant que des attaquants ne les exploitent. Chaque attaque réussie rapporte une prime et des points au classement « Master of Pwn », et les vulnérabilités sont ensuite transmises aux fabricants concernés.
Comme le relève Infosecurity Magazine, les éditeurs ont du mal à débusquer eux-mêmes les défauts de leurs produits avant leurs adversaires. Le concours leur apporte ces découvertes de manière encadrée. Le cru 2026 dépasse nettement le précédent : selon BleepingComputer, l’édition irlandaise de 2025 avait livré 73 failles inédites pour 1 024 750 dollars de primes. Le nombre de vulnérabilités progresse donc d’environ un tiers en un an.
Smartphones : le Galaxy S26 tombe chaque jour, le Pixel 10 en fin de concours
Les téléphones ont attiré les plus grosses récompenses. D’après BleepingComputer, le Samsung Galaxy S26 a été piraté lors des trois journées, par plusieurs équipes : Interrupt Labs, Ikotas Labs et Nguyen Thanh Dat, de Viettel Cyber Security, le premier jour, puis PetoWorks, Kyeongmin Kim du KAIST Hacking Lab et une équipe de CENSUS Labs le lendemain. Le média précise que Samsung connaissait déjà certaines des failles utilisées.
Le Google Pixel 10 est tombé lors de la troisième journée, à trois reprises selon BleepingComputer. Ikotas Labs y a empoché 300 000 dollars en enchaînant plusieurs vulnérabilités inédites. L’iPhone 17 d’Apple faisait aussi partie des cibles possibles, avec jusqu’à 300 000 dollars à la clé pour une attaque à distance, mais aucun participant ne s’est inscrit pour s’y essayer.
Imprimante, objets connectés, IA : tout le bureau dans le viseur
La première journée a produit à elle seule 32 failles inédites, selon les deux médias. Infosecurity Magazine en détaille les cibles. L’imprimante Lexmark CX532adwe a été compromise grâce à une unique faille de type « use-after-free », qui exploite une zone de mémoire déjà libérée. L’enceinte Sonos Era 300 et le tensiomètre connecté Garmin Index BPM sont aussi tombés, tout comme le pont domotique Philips Hue Bridge Pro, sur lequel deux chercheurs de VinSOC ont aligné sept failles.
L’intelligence artificielle dispose de ses propres catégories dans le concours, l’une pour les infrastructures d’IA, l’autre pour les assistants de programmation. Toujours le premier jour, Taisic Yun, de la société Xint, a pris la main sur LiteLLM, un outil open source qui sert d’intermédiaire entre les applications et les modèles de langage, en combinant une validation d’entrée défaillante et une injection de code. Une autre équipe de VinSOC a réuni cinq failles contre la base de données Oracle Autonomous AI Database, et Ikotas Labs a compromis l’assistant de programmation OpenAI Codex avec une seule faille d’injection d’arguments.
Pour une entreprise, ces résultats ont une portée concrète. Il ne s’agit pas de prototypes de laboratoire, mais d’équipements du quotidien, que l’on installe souvent sans inventaire précis ni politique de mise à jour : imprimantes partagées, objets connectés de salle de réunion, outils d’IA branchés sur le code ou les données de l’entreprise.
Le palmarès et le calendrier des correctifs
Ikotas Labs décroche le titre de « Master of Pwn » avec 42,5 points et 361 000 dollars gagnés sur trois jours, devant Xint (240 000 dollars, 27,5 points) et Team ZyGoat (125 000 dollars, 27,5 points), selon BleepingComputer. La troisième journée a été de loin la plus lucrative, avec 641 000 dollars distribués, portée par les attaques contre les smartphones.
Les fabricants concernés ont 90 jours pour publier un correctif avant que la ZDI ne divulgue les détails techniques. Pour des failles présentées entre le 6 et le 8 octobre, l’échéance tombe donc début janvier 2027. Des mises à jour peuvent arriver plus tôt : les responsables informatiques ont intérêt à suivre, dans les semaines qui viennent, les bulletins de sécurité de Samsung, Google, Lexmark, Sonos, Philips Hue, Garmin, Oracle, OpenAI et du projet LiteLLM.
Questions fréquentes
Qu’est-ce qu’une faille « zero day » ?
C’est une vulnérabilité que l’éditeur ne connaît pas encore et pour laquelle aucun correctif n’existe. À Pwn2Own, ces failles sont révélées aux fabricants au lieu d’être utilisées contre des victimes.
Mon Galaxy S26 ou mon Pixel 10 est-il en danger ?
Les détails des attaques ne sont pas publiés : la ZDI les transmet d’abord aux fabricants, qui ont 90 jours pour corriger. Le bon réflexe consiste à installer les mises à jour de sécurité de Samsung et de Google dès leur disponibilité.
Combien les chercheurs ont-ils gagné ?
Au total, 1 262 000 dollars pour 98 failles, selon BleepingComputer. Le vainqueur, Ikotas Labs, repart avec 361 000 dollars, dont 300 000 pour sa chaîne d’attaque contre le Pixel 10.
Sources
- Pwn2Own Hackers Find 32 Zero-Day Vulnerabilities on Day One — Infosecurity Magazine, 2026-10-07
- Hackers get $1,262,000 for 98 zero-days at Pwn2Own Ireland — BleepingComputer, 2026-10-09