Op 8 oktober 2026 demonstreerde BunkyoWesterns tijdens Pwn2Own Ireland 2026 op afstand een keten van twee bugs op de Samsung Galaxy S26: één collision en één unieke bug. Zero Day Initiative (ZDI), de organisator van de wedstrijd, vermeldde voor de inzending een prijs van US$ 8.250 en 3,75 Master of Pwn-punten in de uitslag van de derde wedstrijddag.

De laatste Galaxy S26-inzending

ZDI beschreef de keten van BunkyoWesterns als een aanval op afstand met twee bugs. Eén bug was een collision; de andere was uniek. De inzending was de laatste Galaxy S26-resultaatvermelding in de driedaagse wedstrijd.

Zeven geslaagde inzendingen in drie dagen

De dagelijkse uitslagen van Pwn2Own Ireland 2026 telden zeven geslaagde Galaxy S26-inzendingen: drie op 6 oktober, drie op 7 oktober en één op 8 oktober. Op de eerste wedstrijddag kwamen de inzendingen van Viettel Cyber Security, Interrupt Labs en Ikotas Labs. Elk team gebruikte vier bugs. Bij Viettel Cyber Security waren er drie al bij de leverancier bekend; Interrupt Labs gebruikte drie collisions en één zero-day. In de keten van Ikotas Labs zat één bug die bij Samsung bekend was.

Op 7 oktober volgden drie resultaten. Een gezamenlijk team demonstreerde een inzending met één bug in de categorie ‘Confused Deputy’. Kyeongmin Kim gebruikte op afstand drie bugs: één unieke en twee collisions. PetoWorks demonstreerde op afstand een keten met drie collisions. Die resultaten staan in de uitslag van de tweede wedstrijddag.

De beschrijvingen van de afzonderlijke inzendingen laten zien dat zes van de zeven minstens één collision bevatten.

Wat een collision betekent

Een collision is in deze wedstrijd een classificatie voor een inzending waarin minstens één bug al bij de leverancier bekend was of eerder was getoond. Dat betekent niet automatisch dat de bug was gepatcht. ZDI meldde bij de uitslag van 6 oktober dat één van de vier bugs in de inzending van Ikotas Labs bij Samsung bekend was en toen nog niet was gepatcht.

Wat de uitslagen zeggen over beveiliging

De zeven geslaagde demonstraties vonden plaats als wedstrijdinzendingen. De telling is geen algemene beveiligingsranglijst voor smartphones en vergelijkt de Samsung Galaxy S26 niet met de Google Pixel 10. Een wedstrijdresultaat telt succesvolle inzendingen onder de regels van die wedstrijd; het is geen maat voor de totale beveiliging van een telefoon.