Beim Sicherheitswettbewerb Pwn2Own Berlin 2026 haben Forschende insgesamt 47 bislang unbekannte Sicherheitslücken in Unternehmenssoftware demonstriert. Die Zero Day Initiative von Trend Micro zahlte dafür insgesamt 1.298.250 US-Dollar an Preisgeldern aus.
Angriffe auf Microsoft, Linux und VMware
Das Team DEVCORE erzielte mit Angriffen auf Microsoft Exchange, Edge und SharePoint die höchsten Einzelprämien. Für eine vollständige Codeausführung mit Systemrechten auf einem Exchange Server wurden 200.000 US-Dollar vergeben. Weitere 175.000 US-Dollar entfielen auf die Flucht aus der Edge-Sandbox, für eine Kompromittierung von SharePoint gab es 100.000 US-Dollar. STARLabs SG erhielt ebenfalls 200.000 US-Dollar für einen Angriff auf VMware ESXi.
KI-Werkzeuge im Fokus der Forschung
Mehrere Beiträge richteten sich gegen KI-gestützte Entwicklerwerkzeuge und lokale Modelle. Sicherheitsforscher demonstrierten unter anderem Angriffe auf Cursor, Ollama, OpenAI Codex, Claude Code, LM Studio, die Nvidia Megatron Bridge und die Vektordatenbank Chroma. Die ZDI veröffentlicht technische Details jeweils nach Ablauf der vereinbarten Frist, damit betroffene Anbieter Zeit für Sicherheitsupdates erhalten.
Die Ergebnisse sind auch für Windows- und Spieleentwicklung relevant, weil viele Studios und Plattformdienste dieselben Entwicklungs- und Infrastrukturkomponenten einsetzen. Ein älterer Beitrag zu Sicherheitslücken in Microsoft-Systemen zeigt, wie solche Schwachstellen in den Plattformbetrieb hineinwirken können.