Am 8. Oktober 2026 demonstrierte BunkyoWesterns bei Pwn2Own Ireland 2026 erfolgreich eine Remote-Kette aus zwei Bugs gegen das Samsung Galaxy S26. Sie bestand aus einer Kollision und einem als „unique“ eingestuften Fehler. Die Zero Day Initiative (ZDI) listete für den Eintrag 8.250 US-Dollar Preisgeld und 3,75 Master-of-Pwn-Punkte. ZDI veröffentlichte das Ergebnis am dritten Wettbewerbstag.
Sieben erfolgreiche Einträge an drei Tagen
Die ZDI-Tagesergebnisse verzeichneten vom 6. bis 8. Oktober sieben erfolgreiche Galaxy-S26-Einträge: drei am ersten Tag, drei am zweiten und einen am dritten. Am 6. Oktober traten Viettel Cyber Security, Interrupt Labs und Ikotas Labs erfolgreich an. Alle drei Einträge verwendeten jeweils vier Bugs.
Am 7. Oktober folgten drei weitere Erfolge. Ein gemeinsames Team setzte eine Ein-Bug-Kette vom Typ „Confused Deputy“ ein. Kyeongmin Kim demonstrierte einen Remote-Exploit mit einem Unique-Bug und zwei Kollisionen; PetoWorks griff ebenfalls aus der Ferne an und verwendete drei Kollisions-Bugs. Die ZDI-Ergebnisse vom zweiten Tag führen alle drei Einträge auf.
BunkyoWesterns’ Zwei-Bug-Kette schloss am 8. Oktober die Reihe der erfolgreichen Galaxy-S26-Einträge ab.
Was eine Kollision bedeutet
Eine Kollision ist eine Wettbewerbskategorie: Mindestens eine Schwachstelle in der Kette war dem Hersteller bereits bekannt oder zuvor vorgeführt worden. Das sagt etwas über den Bekanntheitsstand aus, aber nicht darüber, ob die Schwachstelle bereits behoben war. Die ZDI-Einzelergebnisse weisen bei sechs der sieben Galaxy-S26-Einträge mindestens eine Kollision aus.
Beim Eintrag von Ikotas Labs bestand die Kette aus vier Bugs. ZDI meldete, dass Samsung einer der Fehler bereits bekannt war und dieser zum Zeitpunkt des Ergebnisses noch nicht gepatcht war. Bekanntheit und Behebung sind also zwei verschiedene Dinge.
Was die Ergebnisse aussagen
Die sieben Erfolge waren Demonstrationen im Rahmen eines Wettbewerbs. Sie sind kein Beleg dafür, dass dieselben Schwachstellen bei Angriffen auf gewöhnliche Nutzer eingesetzt wurden. Ebenso ergibt sich aus der Zahl der Einträge keine Sicherheitsrangliste: Wettbewerbsergebnisse hängen auch davon ab, welche Teams antreten und welche Bedingungen und Anreize gelten.
Die Einträge gegen das Galaxy S26 erlauben daher keinen direkten Sicherheitsvergleich mit dem Google Pixel 10. Die Anzahl erfolgreicher Wettbewerbsdemonstrationen ist für sich genommen kein standardisierter Messwert für die Sicherheit eines Smartphones.
