Ikotas Labs gana el Master of Pwn tras vulnerar un Pixel 10
El concurso de la Zero Day Initiative cerró con tres ataques al Pixel 10 de Google; las fallas siguen sin CVE ni parche y por ahora no cambian nada para el usuario.
Para quien tiene un Pixel 10 o un Galaxy S26 no cambia nada por ahora: las fallas que se demostraron en Pwn2Own Irlanda no tienen identificador CVE ni parche público, y los fabricantes las reciben en privado para corregirlas. Lo que sí puede venir son actualizaciones de seguridad de Google y Samsung que cierren esos errores. Google y Samsung no han publicado una declaración.
La Zero Day Initiative (ZDI), que organiza el concurso, resumió el tercer y último día de la edición de 2026 y proclamó a Ikotas Labs como Master of Pwn. La empresa cobró 300 000 dólares y sumó 30 puntos por encadenar varios errores contra el Pixel 10. Pwn2Own paga a investigadores por demostrar en vivo ataques contra productos actualizados, y la ZDI avisa a los fabricantes antes de divulgar nada. En el primer día del concurso el Pixel 10 todavía había resistido.
Tres ataques al Pixel 10
El teléfono de Google fue el objetivo principal del jueves:
| Equipo | Premio (dólares) | Puntos |
|---|---|---|
| Ikotas Labs | 300 000 | 30 |
| Xint (Tim Becker y Yves Bieri) | 150 000 | 15 |
| Dimitrios Valsamaras, Ken Gannon y Tenia Valsamara | 112 500 | 22.5 |
Xint usó una colisión, es decir, un error que otro participante ya había presentado, y por eso el premio es menor. El equipo de Valsamaras combinó dos fallas: una colisión y un día cero, una falla que el fabricante no conocía.
El Galaxy S26 de Samsung ya había caído en los tres intentos del segundo día, según la ZDI, y el tercero sumó otro ataque, del equipo BunkyoWesterns, por 8 250 dólares. Entre los demás pagos del jueves hubo 20 000 dólares para FuzzingLabs por una impresora Brother MFC-L8970CDW, 7 500 para Team MAMMOTH por un Home Assistant Green y dos pagos de 6 250 y 6 000 dólares por Oracle Autonomous AI Database. White Noise Club falló contra un Garmin Index BPM.
La ZDI anunció 17 intentos y "alrededor de 1.33 millones de dólares sobre la mesa" para el día, pero esa cifra es lo que se ofrecía, no lo que se pagó. Esta nota no suma los totales finales del evento porque la ZDI no los publica en las páginas consultadas. Los resultados vienen del propio organizador y no hay verificación independiente de los pagos.
