Em 8 de outubro de 2026, BunkyoWesterns demonstrou uma cadeia remota de dois bugs contra o Samsung Galaxy S26 no Pwn2Own Ireland 2026: um bug classificado como colisão e outro como único. Foi a sétima participação bem-sucedida com o aparelho registrada pela Zero Day Initiative (ZDI) nos resultados dos três dias da competição. A equipe recebeu US$ 8.250 e 3,75 pontos no Master of Pwn. (Resultado do terceiro dia)

Sete participações bem-sucedidas em três dias

Os resultados da ZDI registraram três participações bem-sucedidas com o Galaxy S26 em 6 de outubro, outras três em 7 de outubro e a demonstração de BunkyoWesterns em 8 de outubro. (Resultados do primeiro dia; resultados do segundo dia; resultados do terceiro dia)

  • 6 de outubro: Viettel Cyber Security, Interrupt Labs e Ikotas Labs apresentaram cadeias com quatro bugs cada. A entrada da Interrupt Labs tinha três colisões e um bug zero-day. A ZDI classificou três dos quatro bugs da Viettel como conhecidos pelo fabricante; no caso da Ikotas Labs, um bug era conhecido pela Samsung e seguia sem correção na data do resultado.
  • 7 de outubro: uma equipe conjunta apresentou uma cadeia de um bug, classificada como “Confused Deputy”. Kyeongmin Kim usou três bugs em uma demonstração remota: um único e dois classificados como colisões. A PetoWorks também realizou uma demonstração remota, com três colisões.
  • 8 de outubro: BunkyoWesterns concluiu a sequência com uma cadeia remota de dois bugs, um de cada classificação: colisão e único.

O que significa uma colisão

Na classificação da competição, uma colisão indica que ao menos um bug da cadeia já era conhecido pelo fabricante ou havia sido demonstrado anteriormente. Isso descreve o histórico da falha, não uma correção aplicada. A ZDI registrou colisões em seis das sete entradas do Galaxy S26. (Resultados do primeiro dia; resultados do segundo dia)

O exemplo da Ikotas Labs ilustra a diferença: uma das quatro falhas usadas pela equipe já era conhecida pela Samsung, mas continuava sem correção na data daquele resultado. Esse registro se refere à situação durante a competição.

O que os resultados da competição mostram

As sete participações bem-sucedidas são demonstrações feitas em desafios do Pwn2Own Ireland 2026. O número não representa sete ataques contra usuários comuns nem mede, por si só, a segurança geral do Galaxy S26. Também não permite concluir que o aparelho seja menos seguro que o Google Pixel 10: a contagem de êxitos em uma competição não constitui um ranking comparável de segurança entre celulares.