Pwn2Own Ireland 2026 : le Galaxy S26 piraté encore et encore, 45 failles zero-day en une journée
Au deuxième jour du célèbre concours de hacking, les chercheurs ont exploité 45 failles inédites et empoché 232 500 dollars. Le smartphone de Samsung est tombé trois fois de plus.
Chaque année, le concours Pwn2Own, organisé par la Zero Day Initiative (ZDI), réunit des chercheurs en sécurité qui tentent de pirater, en direct, des appareils grand public et professionnels parfaitement à jour. L’édition Ireland 2026 n’a pas fait exception : le deuxième jour, 45 failles zero-day inédites ont été exploitées, pour 232 500 dollars de récompenses.
Le Galaxy S26 en vedette (malgré lui)
Le smartphone haut de gamme de Samsung a de nouveau été compromis trois fois par trois équipes indépendantes, dont des chercheurs du KAIST Hacking Lab, de PetoWorks et de CENSUS Labs. Il avait déjà été ciblé avec succès dès le premier jour du concours.
Enceintes, domotique et IA aussi
Le Galaxy S26 n’était pas seul sur le banc d’essai :
- l’enceinte connectée Sonos Era 300 a été compromise avec une chaîne d’exploitation déroulée en moins d’une minute ;
- le boîtier domotique Home Assistant Green a subi plusieurs attaques réussies ;
- côté professionnel, une base de données cloud d’Oracle a été percée grâce à une chaîne de sept failles zero-day.
La catégorie infrastructure IA, nouvelle cible à la mode, a aussi rapporté gros aux chercheurs.
Faut-il s’inquiéter ?
Pas dans l’immédiat. Les failles découvertes à Pwn2Own sont transmises aux fabricants, qui disposent de 90 jours pour publier un correctif avant que les détails techniques ne soient rendus publics. C’est justement l’intérêt du concours : trouver les failles avant les criminels.
Le bon réflexe reste le même pour tous les appareils concernés : installer les mises à jour dès qu’elles sont disponibles, y compris sur les objets connectés qu’on oublie souvent (enceintes, box domotique, imprimantes).