Pwn2Own Berlin 2026: पहले दिन 24 ज़ीरो‑डे एक्सप्लॉइट, Windows 11 और Edge भी हुए हैक

Pwn2Own Berlin 2026 की शुरुआत साइबर सुरक्षा शोधकर्ताओं के लिए बेहद सफल रही। प्रतियोगिता के पहले ही दिन 24 नए zero‑day vulnerabilities सामने आए और प्रतिभागियों ने कुल मिलाकर $523,000 (लगभग 5.2 लाख डॉलर) इनाम जीता।

इन हमलों का निशाना कई बड़े सॉफ्टवेयर प्लेटफॉर्म बने, जिनमें Windows 11, Microsoft Edge, Linux सिस्टम और कुछ AI प्लेटफॉर्म शामिल थे।

Microsoft के उत्पाद इस दिन विशेष रूप से चर्चा में रहे क्योंकि Windows 11 और Edge दोनों को सफलतापूर्वक एक्सप्लॉइट किया गया।

सबसे बड़ा एक्सप्लॉइट: Microsoft Edge का sandbox escape

दिन का सबसे बड़ा इनाम DEVCORE Research Team के प्रसिद्ध सुरक्षा शोधकर्ता Cheng‑Da Tsai (Orange Tsai) को मिला। उन्होंने चार लॉजिक कमजोरियों को जोड़कर (chaining) Microsoft Edge ब्राउज़र के sandbox से बाहर निकलने का तरीका दिखाया।

इस सफल हमले के लिए उन्हें $175,000 का इनाम और 17.5 “Master of Pwn” अंक मिले।

ब्राउज़र sandbox सुरक्षा की एक महत्वपूर्ण परत होती है। इसका उद्देश्य यह होता है कि यदि कोई वेबसाइट या स्क्रिप्ट ब्राउज़र में घुसपैठ कर भी ले, तो वह पूरे सिस्टम तक पहुँच न बना सके। लेकिन sandbox escape होने पर हमलावर ब्राउज़र से सीधे ऑपरेटिंग सिस्टम तक पहुँच सकते हैं।

Windows 11 को तीन बार हैक किया गया

Microsoft का प्रमुख ऑपरेटिंग सिस्टम Windows 11 भी पहले दिन तीन अलग‑अलग हमलों में सफलतापूर्वक एक्सप्लॉइट किया गया। हर मामले में शोधकर्ताओं ने privilege‑escalation zero‑day दिखाया।

इन सफल प्रदर्शनों में शामिल थे:

• Angelboy और TwinkleStar03 (DEVCORE Internship Program) — Windows 11 privilege escalation, इनाम $30,000।
• Marcin Wiązowski — Windows 11 privilege escalation, इनाम $30,000।
• Kentaro Kawane (GMO Cybersecurity) — Windows 11 privilege escalation, इनाम $30,000।

Privilege escalation का मतलब है कि यदि किसी हमलावर को सिस्टम में सीमित एक्सेस मिल जाए, तो वह इस तरह की कमजोरी का उपयोग करके administrator या SYSTEM स्तर के अधिकार हासिल कर सकता है।

पहले दिन का कुल परिणाम

प्रतियोगिता के पहले दिन के मुख्य आँकड़े इस प्रकार रहे:

• 24 अलग‑अलग zero‑day vulnerabilities का प्रदर्शन।
• 22 exploit attempts जिनका लक्ष्य लोकप्रिय सॉफ्टवेयर प्लेटफॉर्म थे।
• शोधकर्ताओं को कुल $523,000 का इनाम।

इन हमलों में ऑपरेटिंग सिस्टम, ब्राउज़र, AI टूल, डेवलपर प्लेटफॉर्म और इंफ्रास्ट्रक्चर सॉफ्टवेयर शामिल थे — जो दिखाता है कि आधुनिक एंटरप्राइज़ तकनीक में हमला करने की सतह (attack surface) लगातार बढ़ रही है।

उसी समय सामने आया Exchange Server का असली zero‑day

जब Pwn2Own में नियंत्रित माहौल में कमजोरियाँ दिखाई जा रही थीं, उसी दौरान Microsoft ने एक अलग zero‑day vulnerability के बारे में चेतावनी दी जिसे असली हमलों में इस्तेमाल किया जा रहा है।

यह कमजोरी CVE‑2026‑42897 के रूप में ट्रैक की जा रही है और यह Microsoft Exchange Server को प्रभावित करती है।

मुख्य तथ्य:

• यह कमजोरी Exchange Server 2016, 2019 और Subscription Edition को प्रभावित करती है।
• समस्या cross‑site scripting (XSS) से जुड़ी है, जो वेब पेज जेनरेशन के दौरान इनपुट को सही तरीके से सुरक्षित न करने से होती है।
• हमलावर विशेष रूप से तैयार किए गए कंटेंट के जरिए Outlook on the Web सेशन में हमला कर सकते हैं।
• Microsoft ने पुष्टि की है कि इस कमजोरी का वास्तविक हमलों में इस्तेमाल हो रहा है।

हालांकि यह घटना Pwn2Own के समय के आसपास सामने आई, लेकिन अभी तक ऐसा कोई प्रमाण नहीं है कि CVE‑2026‑42897 वही कमजोरी है जिसे प्रतियोगिता में दिखाया गया था।

Pwn2Own के बाद क्या होता है

Pwn2Own प्रतियोगिता को Trend Micro की Zero Day Initiative (ZDI) संचालित करती है और यहाँ जिम्मेदार खुलासा (responsible disclosure) की प्रक्रिया अपनाई जाती है।

जब कोई exploit सफल होता है:

1. कमजोरी की तकनीकी जानकारी संबंधित सॉफ्टवेयर कंपनी को निजी तौर पर दी जाती है।
2. कंपनी को आमतौर पर लगभग 90 दिन का समय दिया जाता है ताकि वह पैच तैयार कर सके।
3. तकनीकी विवरण तभी सार्वजनिक किए जाते हैं जब पैच जारी हो जाए।

इसका उद्देश्य यह है कि सुरक्षा शोधकर्ता वास्तविक हमले दिखा सकें, लेकिन उपयोगकर्ताओं को खतरे में डाले बिना कंपनियों को समस्या ठीक करने का समय मिल सके।

क्यों महत्वपूर्ण है यह प्रतियोगिता

Pwn2Own Berlin 2026 का पहला दिन साइबर सुरक्षा की दो सच्चाइयों को उजागर करता है:

• बेहद परिपक्व प्लेटफॉर्म जैसे Windows 11 और Microsoft Edge में भी नई कमजोरियाँ मिल सकती हैं।
• दूसरी तरफ, वास्तविक दुनिया में हमलावर पहले से ही Exchange Server जैसे सिस्टम में zero‑day exploits का उपयोग कर रहे हैं।

ऐसी प्रतियोगिताओं का लक्ष्य यही होता है कि कमजोरियाँ पहले सुरक्षा शोधकर्ताओं द्वारा खोजी जाएँ, ताकि कंपनियाँ समय रहते पैच जारी कर सकें और अपराधियों के हाथ लगने से पहले जोखिम कम हो सके।