Der Wettbewerb Pwn2Own Berlin 2026, der auf der OffensiveCon stattfand, zeigt das kontinuierliche Risiko, das von noch unbekannten Sicherheitslücken ausgeht. Die Organisatoren der Zero Day Initiative (ZDI) von Trend Micro vergaben insgesamt 1,298,250 Dollar für die erfolgreichen Exploits. Am ersten Wettbewerbstag sammelten die Hacker 523.000 Dollar für 24 Zero-Days ein, am zweiten Tag 385.750 Dollar für 15 weitere Lücken und am dritten Tag 389.500 Dollar für acht zusätzliche Exploits.
Das Team DEVCORE dominierte den Wettbewerb und sicherte sich mit 50,5 Master-of-Pwn-Punkten insgesamt 505.000 Dollar. Die höchste Einzelprämie von 200.000 Dollar erhielt Cheng-Da Tsai (Orange Tsai) von DEVCORE für eine Exploit-Kette gegen Microsoft Exchange, die Remote-Code-Execution mit SYSTEM-Privilegien ermöglichte. Ein weiterer Exploit desselben Forschers gegen Microsoft Edge, der eine Sandbox-Flucht demonstrierte, brachte 175.000 Dollar ein.
Besonders bemerkenswert ist die breite Palette betroffener Systeme: Microsoft SharePoint, Microsoft Exchange, Microsoft Edge, Windows 11, Red Hat Enterprise Linux, VMware ESXi und sogar KI-Coding-Agenten wurden erfolgreich kompromittiert. Dies zeigt, dass kritische Infrastruktur-Komponenten, auf die sich auch deutsche Unternehmen verlassen, erhebliche Anfälligkeiten aufweisen. STARLabs SG folgte auf Platz zwei mit 242.500 Dollar und Out of Bounds mit 95.750 Dollar.
Der Fokus auf Enterprise-Technologien und künstliche Intelligenz unterstreicht einen Trend: KI-Systeme werden zunehmend zum Ziel von Sicherheitsforschern. Windows 11 wurde während des Wettbewerbs mehrfach erfolgreich angegriffen, sowohl durch Local-Privilege-Escalation- als auch durch Remote-Code-Execution-Exploits.
Nach dem Wettbewerb haben die betroffenen Anbieter 90 Tage Zeit, um Sicherheitspatches zu veröffentlichen, bevor die Lücken öffentlich offengelegt werden. Dies ist Standard-Praxis bei der Zero Day Initiative und soll Benutzern einen angemessenen Schutzfenster geben. Im Vergleich: Bei Pwn2Own Berlin 2025 wurden nur 29 Zero-Days gefunden und 1,078,750 Dollar vergeben. Die gestiegene Anzahl und das höhere Preisgeld deuten auf die wachsende Komplexität moderner Enterprise-Software hin.