Le 8 octobre 2026, BunkyoWesterns a réussi à distance une chaîne de deux bugs sur le Samsung Galaxy S26, dont une collision et un bug inédit. Cette dernière entrée a porté à sept le nombre de succès du téléphone à Pwn2Own Ireland 2026, selon les résultats officiels de Zero Day Initiative (ZDI). La récompense indiquée était de 8 250 dollars et 3,75 points Master of Pwn.

La dernière entrée de BunkyoWesterns

ZDI a classé la démonstration de BunkyoWesterns comme une réussite à distance. Sa chaîne combinait deux bugs : une collision et un bug unique. Le compte officiel de ZDI a également annoncé cette entrée :

Sept entrées réussies en trois jours

Les résultats de ZDI recensent trois réussites du Galaxy S26 le 6 octobre, trois le 7 octobre et une le 8 octobre.

Le premier jour, Viettel Cyber Security a utilisé quatre bugs, dont trois déjà connus du fabricant. Interrupt Labs a également mobilisé quatre bugs : trois collisions et un zero-day. Ikotas Labs a présenté une chaîne de quatre bugs, dont un que Samsung connaissait déjà et qui n’était pas corrigé au moment du résultat. Les résultats du 6 octobre détaillent ces trois entrées.

Le 7 octobre, une équipe réunissant Dimitrios Valsamaras, Ken Gannon et Tenia Valsamara a réussi une entrée reposant sur un seul bug, de type « Confused Deputy ». Kyeongmin Kim a exploité le téléphone à distance avec trois bugs : un unique et deux collisions. PetoWorks a réussi à distance une chaîne de trois bugs classés comme collisions. Ces entrées figurent dans les résultats du 7 octobre.

Ce que signifie une collision

Dans les résultats du concours, une collision désigne une entrée qui mobilise au moins un bug déjà connu du fabricant ou présenté auparavant. Ce classement décrit l’état de connaissance de la faille, pas son état de correction.

L’entrée d’Ikotas Labs l’illustre : parmi ses quatre bugs, l’un était connu de Samsung, mais restait non corrigé au moment du résultat du concours. Six des sept entrées comportaient au moins une collision.

Ce que le décompte permet de comparer

Les sept réussites sont des démonstrations réalisées dans le cadre de Pwn2Own Ireland 2026. Elles décrivent les résultats obtenus lors de ces épreuves ; elles ne constituent pas un classement général de la sécurité du Galaxy S26 ni une mesure des attaques visant les utilisateurs au quotidien.