8 października 2026 r. zespół BunkyoWesterns zademonstrował zdalny łańcuch dwóch błędów w Samsung Galaxy S26 podczas Pwn2Own Ireland 2026. Jeden błąd sklasyfikowano jako kolizję, a drugi jako unikalny. Była to ostatnia z siedmiu udanych prób dotyczących tego telefonu odnotowanych przez Zero Day Initiative (ZDI) w wynikach z trzech dni konkursu.
Ostatnia próba BunkyoWesterns
ZDI podało, że zdalny łańcuch BunkyoWesterns składał się z dwóch błędów: jednego wcześniej znanego lub pokazanego błędu klasyfikowanego jako kolizja oraz jednego błędu unikalnego. Zespół otrzymał za tę próbę 8250 dolarów i 3,75 punktu Master of Pwn. Wyniki ZDI z 8 października
Siedem udanych prób w ciągu trzech dni
Wyniki ZDI odnotowały trzy udane próby dotyczące Galaxy S26 6 października, kolejne trzy 7 października i jedną 8 października. Łącznie badacze zaprezentowali więc siedem skutecznych demonstracji konkursowych.
Pierwszego dnia Viettel Cyber Security, Interrupt Labs i Ikotas Labs użyły po cztery błędy w swoich łańcuchach. W przypadku Viettel trzy błędy były już znane producentowi. Łańcuch Interrupt Labs obejmował trzy kolizje i jeden błąd zero-day. Wśród czterech błędów użytych przez Ikotas Labs jeden był znany Samsungowi, a w chwili ogłoszenia wyniku pozostawał niezałatany. Wyniki ZDI z 6 października
Drugiego dnia wspólny zespół zademonstrował jednobłędowy łańcuch typu Confused Deputy. Kyeongmin Kim przeprowadził zdalną próbę z użyciem trzech błędów: jednego unikalnego i dwóch kolizji. PetoWorks uzyskało zdalny dostęp do telefonu, wykorzystując trzy błędy sklasyfikowane jako kolizje. Wyniki ZDI z 7 października
Co oznacza kolizja
W wynikach Pwn2Own „kolizja” oznacza, że co najmniej jeden błąd w danej próbie był już znany producentowi lub został wcześniej pokazany. To opis historii błędu, nie jego stanu naprawienia. Przykład Ikotas Labs pokazuje tę różnicę: ZDI podało, że jeden z użytych błędów był znany Samsungowi, ale w chwili ogłoszenia wyniku nadal nie był załatany.
Zestawienie poszczególnych prób wskazuje, że sześć z siedmiu łańcuchów zawierało co najmniej jedną kolizję. To liczba prób z takim błędem, nie liczba wszystkich błędów w telefonie.
Co wyniki mówią o bezpieczeństwie
Siedem udanych prób opisuje rezultaty kontrolowanych demonstracji konkursowych. Nie jest to liczba ataków na użytkowników Galaxy S26 ani samodzielna miara bezpieczeństwa telefonu. Wyniki konkursu zależą również od zgłoszonych prób, zasad i zachęt konkursowych, dlatego ich liczba nie tworzy ogólnego rankingu Galaxy S26 względem Google Pixel 10.
