L’8 ottobre 2026 BunkyoWesterns ha dimostrato una catena remota di due bug sul Samsung Galaxy S26, con una collisione e un bug unico. È stata l’ultima delle sette prove riuscite sul telefono registrate da Zero Day Initiative (ZDI) a Pwn2Own Ireland 2026, tra il 6 e l’8 ottobre. Il risultato del terzo giorno riporta anche un premio di 8.250 dollari e 3,75 punti Master of Pwn.
Il post ufficiale di ZDI riassume la prova di BunkyoWesterns e i relativi punti e premio.
Sette prove riuscite in tre giorni
ZDI ha registrato tre prove riuscite sul Galaxy S26 il 6 ottobre, altre tre il 7 e una l’8. Le dimostrazioni del primo giorno hanno coinvolto Viettel Cyber Security, Interrupt Labs e Ikotas Labs: ciascun gruppo ha usato una catena di quattro bug. I risultati del primo giorno indicano che la catena di Viettel comprendeva tre bug già noti al produttore; quella di Interrupt Labs, tre collisioni e un bug zero-day. Nella catena di Ikotas Labs, uno dei quattro bug era già noto a Samsung.
Il 7 ottobre, una squadra congiunta ha completato una prova con un solo bug, classificato come “Confused Deputy”. Kyeongmin Kim ha dimostrato da remoto una catena di tre bug, due collisioni e uno unico; PetoWorks ha eseguito da remoto una catena composta da tre collisioni. I risultati del secondo giorno registrano tutte e tre le prove.
Che cosa significa «collisione»
Nel concorso, una collisione indica che almeno un bug della catena era già noto al produttore o era stato mostrato in precedenza. La classificazione riguarda la storia della vulnerabilità: da sola, non dice se sia stata applicata una correzione.
Il caso di Ikotas Labs rende concreta la distinzione: ZDI ha riferito che uno dei bug della catena era noto a Samsung ma risultava ancora senza patch al momento del risultato. Conoscere una vulnerabilità e correggerla sono due passaggi diversi.
Che cosa dicono i risultati sul Galaxy S26
Dalle singole descrizioni risulta che sei delle sette catene comprendevano almeno una collisione. Il numero di prove riuscite e le loro classificazioni descrivono l’esito del concorso, non una graduatoria generale della sicurezza degli smartphone: dipendono dalle catene presentate e dalle regole della competizione. Perciò il conteggio non dimostra che il Galaxy S26 sia meno sicuro di Google Pixel 10.
Le prove si sono svolte nel contesto controllato di Pwn2Own Ireland 2026; il loro esito non equivale a una campagna di attacchi contro gli utenti comuni.
