Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Pwn2Own to jeden z najważniejszych konkursów bezpieczeństwa ofensywnego na świecie, w ramach którego badacze prezentują skuteczne ataki na w pełni załatane produkty z użyciem wcześniej nieujawnionych podatności typu zero-day. Edycja Pwn2Own Berlin 2026 potwierdziła, że współczesna powierzchnia ataku obejmuje już nie tylko przeglądarki czy systemy operacyjne, ale również środowiska enterprise, platformy wirtualizacyjne, kontenery oraz rozwiązania oparte na sztucznej inteligencji.
W praktyce konkurs stanowi cenne źródło wiedzy dla producentów i zespołów bezpieczeństwa, ponieważ pokazuje, które klasy błędów nadal umożliwiają przełamywanie zabezpieczeń nawet w aktualnych wersjach popularnych produktów.
W skrócie
Podczas Pwn2Own Berlin 2026 badacze zdobyli łącznie 1 298 250 dolarów za ujawnienie 47 podatności zero-day. Wydarzenie odbyło się od 14 do 16 maja 2026 roku w trakcie konferencji OffensiveCon i skupiało się przede wszystkim na technologiach korporacyjnych oraz systemach AI.
- Łączna wartość nagród wyniosła 1 298 250 dolarów.
- Badacze ujawnili 47 podatności zero-day.
- Najwyższa pojedyncza nagroda wyniosła 200 000 dolarów.
- Najbardziej wartościowy atak dotyczył Microsoft Exchange i prowadził do zdalnego wykonania kodu z uprawnieniami SYSTEM.
- Zwycięzcą klasyfikacji Master of Pwn zostało DEVCORE z wynikiem 50,5 punktu i 505 000 dolarów nagród.
Kontekst / historia
Pwn2Own od lat łączy prestiżową rywalizację z praktycznym modelem odpowiedzialnego ujawniania podatności. Uczestnicy muszą atakować systemy w aktualnym, poprawionym stanie, co pozwala realistycznie ocenić odporność nowoczesnych produktów na zaawansowane techniki eksploatacji.
Edycja berlińska w 2026 roku objęła szeroki zakres kategorii: przeglądarki internetowe, aplikacje korporacyjne, lokalne eskalacje uprawnień, serwery, środowiska local inference, rozwiązania cloud-native, kontenery, wirtualizację oraz systemy wykorzystujące duże modele językowe. To wyraźnie pokazuje, że zainteresowanie rynku przesuwa się z pojedynczych aplikacji klienckich w stronę całych stosów infrastrukturalnych i platform AI.
W porównaniu z poprzednią edycją konkursu tegoroczne wyniki oznaczają zauważalny wzrost zarówno liczby skutecznych demonstracji, jak i całkowitej puli wypłat. To istotny sygnał, że złożoność środowisk enterprise i AI przekłada się także na większą liczbę potencjalnych wektorów ataku.
Analiza techniczna
Najważniejszym wnioskiem technicznym z Pwn2Own Berlin 2026 jest skuteczność ataków łańcuchowych. Najwyżej wyceniona demonstracja polegała na połączeniu trzech błędów, co pozwoliło osiągnąć zdalne wykonanie kodu z uprawnieniami SYSTEM w Microsoft Exchange. Tego rodzaju scenariusze są szczególnie groźne, ponieważ pojedyncze podatności o umiarkowanym wpływie mogą po połączeniu doprowadzić do pełnego przejęcia systemu.
Podczas konkursu skutecznie zaatakowano również takie produkty jak Microsoft Edge, Microsoft SharePoint, Windows 11, Red Hat Enterprise Linux for Workstations, VMware ESXi oraz NVIDIA Container Toolkit. Oznacza to, że podatności wykryto w wielu warstwach stosu technologicznego — od silników przeglądarek i aplikacji korporacyjnych, przez systemy operacyjne, po hipernadzorców i komponenty kontenerowe.
Szczególnie istotne są przypadki lokalnej eskalacji uprawnień w Windows 11 i RHEL. Tego rodzaju błędy często nie są początkowym wektorem wejścia, ale odgrywają kluczową rolę w fazie post-exploitation. Po uzyskaniu ograniczonego dostępu napastnik może dzięki nim przejąć pełną kontrolę nad hostem, pozyskać poświadczenia, wyłączyć mechanizmy ochronne lub utrzymać trwałą obecność w środowisku.
Na uwagę zasługują także udane demonstracje w obszarze środowisk AI i agentów kodujących. To ważny sygnał, że narzędzia oparte na modelach językowych stają się pełnoprawnym celem badań ofensywnych. W takich przypadkach zagrożenia mogą wynikać nie tylko z klasycznych błędów pamięci czy logiki aplikacji, ale również ze słabości integracyjnych, nadmiernych uprawnień agentów, niewystarczającej walidacji danych wejściowych oraz niejasnych granic izolacji między modelem a systemem operacyjnym.
Po zakończeniu konkursu obowiązuje standardowy 90-dniowy okres na przygotowanie i wydanie poprawek przez producentów przed publicznym ujawnieniem technicznych szczegółów. Dla organizacji oznacza to ograniczone okno czasowe na przygotowanie planu reagowania, testowanie obejść oraz monitorowanie prób potencjalnego wykorzystania tych klas podatności.
Konsekwencje / ryzyko
Wyniki Pwn2Own Berlin 2026 pokazują, że nawet dojrzałe i szeroko wdrożone platformy nadal zawierają błędy umożliwiające skuteczne przełamanie zabezpieczeń. Dla organizacji korzystających z Exchange, SharePoint, Windows 11, RHEL, VMware ESXi czy środowisk kontenerowych to wyraźny sygnał, że sam aktualny poziom poprawek nie gwarantuje pełnego bezpieczeństwa.
Największe ryzyko dotyczy systemów o wysokiej wartości biznesowej i dużej ekspozycji administracyjnej, takich jak serwery pocztowe, platformy współpracy, hosty wirtualizacyjne oraz infrastruktura kontenerowa. Podatności prowadzące do zdalnego wykonania kodu lub eskalacji uprawnień mogą skutkować przejęciem środowiska, ruchem bocznym, dostępem do danych wrażliwych, sabotażem usług lub wdrożeniem ransomware.
Dodatkowym zagrożeniem jest sam fakt publicznego potwierdzenia skuteczności exploitów wobec konkretnych produktów. Nawet bez pełnych szczegółów technicznych taka informacja może skłonić grupy cyberprzestępcze oraz podmioty APT do intensywniejszych prób odtworzenia podobnych technik ataku.
Rekomendacje
Organizacje powinny potraktować wyniki konkursu jako sygnał do przeglądu priorytetów w obszarze hardeningu, monitoringu i reagowania na nowe podatności. Szczególnej uwagi wymagają systemy i komponenty wskazane podczas konkursu.
- Przyspieszyć proces zarządzania poprawkami dla Exchange, SharePoint, Windows 11, RHEL, VMware ESXi oraz komponentów kontenerowych.
- Przygotować listę zasobów krytycznych i zależności, aby skrócić czas wdrażania aktualizacji po publikacji poprawek.
- Ograniczać uprawnienia i segmentować środowisko administracyjne, aby utrudnić wykorzystanie podatności eskalacji uprawnień.
- Wzmocnić telemetrię i detekcję zachowań post-exploitation, w tym monitorowanie nietypowych procesów, prób podnoszenia uprawnień i zmian mechanizmów trwałości.
- Rozwijać warstwy ochrony kompensacyjnej, takie jak izolacja usług, kontrola aplikacji, reguły sieciowe i ograniczanie powierzchni ataku.
- Przygotować scenariusze threat hunting dla produktów objętych konkursem oraz aktywnie analizować logi, dane EDR i telemetrię SIEM.
- W środowiskach AI monitorować uprawnienia agentów, wykonywanie poleceń, połączenia wychodzące i interakcje z lokalnym systemem.
Podsumowanie
Pwn2Own Berlin 2026 pokazał, że krajobraz zagrożeń przesuwa się w stronę złożonych, wieloetapowych ataków obejmujących systemy operacyjne, aplikacje korporacyjne, platformy wirtualizacyjne, kontenery i rozwiązania AI. Łącznie 47 podatności zero-day oraz ponad 1,29 mln dolarów nagród potwierdzają, że nawet dojrzałe produkty pozostają podatne na zaawansowane badania ofensywne.
Dla obrońców najważniejszy wniosek jest praktyczny: utrzymywanie aktualnych poprawek to za mało. Konieczne są dodatkowe warstwy ochrony, segmentacja, monitoring aktywności post-exploitation oraz gotowość do szybkiego reagowania na nowe biuletyny i poprawki producentów.
Źródła
- Pwn2Own Berlin 2026: Hackers earn $1,298,250 for 47 zero-days at Pwn2Own Berlin 2026 — https://www.bleepingcomputer.com/news/security/hackers-earn-1-298-250-for-47-zero-days-at-pwn2own-berlin-2026/
- Trend Micro Zero Day Initiative — Pwn2Own Berlin 2026, Day Three Results — https://www.zerodayinitiative.com/blog/2026/5/16/pwn2own-berlin-2026-day-three-results
- Trend Micro Zero Day Initiative — Pwn2Own Berlin 2026, Day Two Results — https://www.zerodayinitiative.com/blog/2026/5/15/pwn2own-berlin-2026-day-two-results
- Trend Micro Zero Day Initiative — Pwn2Own Berlin 2026, Day One Results — https://www.zerodayinitiative.com/blog/2026/5/14/pwn2own-berlin-2026-day-one-results
- OffensiveCon — Event information — https://www.offensivecon.org/