O Pwn2Own Ireland 2026 terminou com a demonstração de 98 vulnerabilidades zero-day em três dias. Os investigadores receberam 1,262 milhões de dólares em prémios por conseguirem explorar equipamentos e serviços num ambiente controlado, desde telemóveis e colunas inteligentes até impressoras e plataformas de inteligência artificial.
O número chama a atenção, mas não significa que tenham ocorrido 98 ataques contra utilizadores. O concurso serve para encontrar falhas antes de serem exploradas por criminosos, comunicar os detalhes aos fabricantes e criar um prazo para as corrigir.
Pixel 10 foi o alvo mais valioso
O Google Pixel 10 foi comprometido três vezes no último dia da competição. As três equipas receberam, em conjunto, mais de 560 mil dólares. O maior prémio individual, de 300 mil dólares, foi atribuído a uma cadeia de várias falhas que permitiu atacar remotamente o telemóvel.
Outras demonstrações combinaram vulnerabilidades novas com problemas que já eram conhecidos pelos fabricantes. No Pwn2Own, estas coincidências são registadas como “collisions” e podem reduzir o valor do prémio, porque nem todos os elementos da cadeia são descobertas inéditas.
O Samsung Galaxy S26 também foi explorado várias vezes ao longo do evento. Isto não prova que todos os Pixel ou Galaxy estejam sob ataque, nem revela automaticamente um método que qualquer pessoa possa reproduzir. Os pormenores técnicos mais sensíveis ficam reservados enquanto as empresas recebem informação suficiente para desenvolver correções.
A lista vai além dos telemóveis
Os investigadores demonstraram falhas em produtos de várias categorias. Entre os alvos estiveram a coluna Sonos Era 300, o Philips Hue Bridge Pro, o Home Assistant Green, o medidor de tensão Garmin Index BPM e impressoras da Brother, Canon e Lexmark.
Também houve testes a infraestrutura de inteligência artificial e ferramentas de programação. Ikotas Labs venceu a classificação geral depois de somar resultados no Galaxy S26, no OpenAI Codex e na Oracle Autonomous AI Database. O concurso avalia produtos diferentes, por isso a pontuação não é uma comparação direta da segurança entre marcas.
A variedade ajuda a perceber uma realidade menos visível: equipamentos domésticos ligados à rede podem conter software complexo e receber atualizações durante muitos anos. Uma falha num hub, numa coluna ou numa impressora pode ser tão relevante para a segurança de uma casa ou escritório como um problema num smartphone.
O que acontece depois da demonstração
Segundo as regras do concurso, os fabricantes recebem os detalhes das vulnerabilidades e dispõem de 90 dias para publicar correções antes de a Zero Day Initiative divulgar informação técnica adicional. Esse intervalo procura dar prioridade à resolução do problema sem esconder indefinidamente a descoberta.
Para os utilizadores, a consequência prática é acompanhar as atualizações oficiais dos equipamentos afetados. As falhas agora demonstradas não devem ser confundidas com as que já foram resolvidas na atualização Android de outubro, porque cada fabricante terá de confirmar quais destes novos problemas afetam os seus produtos e em que versão serão corrigidos.
Também não é prudente instalar ficheiros ou ferramentas obtidos em páginas não oficiais. Até surgirem avisos dos fabricantes, manter o sistema e as aplicações atualizados, evitar desativar mecanismos de segurança e usar apenas firmware oficial continua a ser a resposta adequada.
O resultado do Pwn2Own mostra capacidade técnica para contornar proteções atuais, mas o contexto é responsável e controlado. A notícia principal não é a existência de uma vaga de ataques: é a descoberta coordenada de falhas que passam agora para as equipas responsáveis por as corrigir.
Fontes: Zero Day Initiative · BleepingComputer · SecurityWeek
