Demonstrasi paling bernilai datang dari Cheng‑Da Tsai (Orange Tsai) dari DEVCORE Research Team. Ia berhasil menggabungkan empat bug logika untuk menembus mekanisme sandbox pada browser Microsoft Edge, sehingga memperoleh akses keluar dari lingkungan pembatas keamanan browser tersebut.

Eksploit ini memberinya hadiah $175.000 serta 17,5 poin “Master of Pwn”, menjadikannya pembayaran terbesar pada hari pertama kompetisi.

Sandbox merupakan lapisan keamanan penting pada browser modern. Mekanisme ini memisahkan konten web dari sistem operasi. Jika sandbox berhasil ditembus, penyerang berpotensi berpindah dari halaman web yang terkompromi ke sistem operasi pengguna.

Windows 11 berhasil ditembus tiga kali

Sistem operasi andalan Microsoft, Windows 11, juga menjadi target yang sukses dieksploitasi tiga kali pada hari pertama, semuanya melalui kerentanan privilege escalation yang sebelumnya belum diketahui.

Eksploit yang berhasil antara lain:

• Angelboy dan TwinkleStar03 (DEVCORE Internship Program) — privilege escalation Windows 11, hadiah $30.000.
• Marcin Wiązowski — privilege escalation Windows 11, hadiah $30.000.
• Kentaro Kawane dari GMO Cybersecurity — privilege escalation Windows 11, hadiah $30.000.

Kerentanan privilege escalation memungkinkan penyerang yang sudah memiliki akses terbatas di sistem untuk meningkatkan hak akses—misalnya dari akun pengguna biasa menjadi administrator atau bahkan kontrol tingkat SYSTEM.

Rekap hasil hari pertama

Secara keseluruhan, hari pembukaan Pwn2Own Berlin 2026 mencatat:

• 24 kerentanan zero‑day unik berhasil didemonstrasikan.
• 22 percobaan eksploit terhadap berbagai platform teknologi populer.
• Total hadiah $523.000 dibagikan kepada para peneliti keamanan.

Target kompetisi tidak hanya sistem operasi dan browser, tetapi juga alat AI, platform developer, serta perangkat lunak infrastruktur, yang mencerminkan semakin luasnya permukaan serangan di ekosistem teknologi modern.

Bersamaan dengan itu: zero‑day Exchange Server di dunia nyata

Menariknya, di saat para peneliti memamerkan eksploit dalam lingkungan kompetisi, Microsoft juga mengungkap kerentanan zero‑day lain yang sedang dieksploitasi secara aktif di dunia nyata.

Kerentanan tersebut dilacak sebagai CVE‑2026‑42897, yang memengaruhi Microsoft Exchange Server on‑premises. Masalah ini disebabkan oleh improper neutralization of input during web page generation, yaitu bentuk kerentanan cross‑site scripting (XSS).

Beberapa detail penting:

• Mempengaruhi Exchange Server 2016, 2019, dan Subscription Edition.
• Dapat dieksploitasi dari jarak jauh melalui konten yang dirancang khusus yang berjalan dalam sesi Outlook on the web.
• Microsoft telah mengonfirmasi bahwa kerentanan ini sedang digunakan dalam serangan nyata.

Walaupun waktunya berdekatan dengan Pwn2Own Berlin, tidak ada bukti bahwa CVE‑2026‑42897 adalah kerentanan yang didemonstrasikan dalam kompetisi tersebut.

Apa yang terjadi setelah eksploit Pwn2Own

Pwn2Own diselenggarakan oleh Trend Micro Zero Day Initiative (ZDI) dan mengikuti proses coordinated disclosure.

Setelah sebuah eksploit berhasil didemonstrasikan:

1. Detail kerentanan diserahkan secara privat kepada vendor yang terdampak.
2. Vendor biasanya mendapat waktu sekitar 90 hari untuk mengembangkan dan merilis patch keamanan.
3. Detail teknis baru akan dipublikasikan setelah perbaikan tersedia bagi pengguna.

Pendekatan ini bertujuan memastikan kerentanan dapat diperbaiki sebelum informasi teknisnya diketahui publik atau dimanfaatkan oleh pelaku kejahatan siber.

Mengapa temuan ini penting

Hari pertama Pwn2Own Berlin 2026 memperlihatkan dua realitas penting dalam keamanan siber modern:

• Bahkan platform besar seperti Windows 11 dan Microsoft Edge masih memiliki bug yang bisa dirangkai menjadi serangan kompleks.
• Pada saat yang sama, penyerang nyata juga terus mengeksploitasi zero‑day, seperti yang terlihat pada kasus Exchange Server.

Kompetisi seperti Pwn2Own berfungsi sebagai “arena aman” bagi peneliti untuk menemukan kelemahan tersebut—sehingga vendor dapat memperbaikinya sebelum eksploit yang sama digunakan secara luas oleh penyerang.

Demonstrasi paling bernilai datang dari Cheng‑Da Tsai (Orange Tsai) dari DEVCORE Research Team. Ia berhasil menggabungkan empat bug logika untuk menembus mekanisme sandbox pada browser Microsoft Edge, sehingga memperoleh akses keluar dari lingkungan pembatas keamanan browser tersebut.

Eksploit ini memberinya hadiah $175.000 serta 17,5 poin “Master of Pwn”, menjadikannya pembayaran terbesar pada hari pertama kompetisi.

Sandbox merupakan lapisan keamanan penting pada browser modern. Mekanisme ini memisahkan konten web dari sistem operasi. Jika sandbox berhasil ditembus, penyerang berpotensi berpindah dari halaman web yang terkompromi ke sistem operasi pengguna.

Windows 11 berhasil ditembus tiga kali

Sistem operasi andalan Microsoft, Windows 11, juga menjadi target yang sukses dieksploitasi tiga kali pada hari pertama, semuanya melalui kerentanan privilege escalation yang sebelumnya belum diketahui.

Eksploit yang berhasil antara lain:

• Angelboy dan TwinkleStar03 (DEVCORE Internship Program) — privilege escalation Windows 11, hadiah $30.000.
• Marcin Wiązowski — privilege escalation Windows 11, hadiah $30.000.
• Kentaro Kawane dari GMO Cybersecurity — privilege escalation Windows 11, hadiah $30.000.

Kerentanan privilege escalation memungkinkan penyerang yang sudah memiliki akses terbatas di sistem untuk meningkatkan hak akses—misalnya dari akun pengguna biasa menjadi administrator atau bahkan kontrol tingkat SYSTEM.

Rekap hasil hari pertama

Secara keseluruhan, hari pembukaan Pwn2Own Berlin 2026 mencatat:

• 24 kerentanan zero‑day unik berhasil didemonstrasikan.
• 22 percobaan eksploit terhadap berbagai platform teknologi populer.
• Total hadiah $523.000 dibagikan kepada para peneliti keamanan.

Target kompetisi tidak hanya sistem operasi dan browser, tetapi juga alat AI, platform developer, serta perangkat lunak infrastruktur, yang mencerminkan semakin luasnya permukaan serangan di ekosistem teknologi modern.

Bersamaan dengan itu: zero‑day Exchange Server di dunia nyata

Menariknya, di saat para peneliti memamerkan eksploit dalam lingkungan kompetisi, Microsoft juga mengungkap kerentanan zero‑day lain yang sedang dieksploitasi secara aktif di dunia nyata.

Kerentanan tersebut dilacak sebagai CVE‑2026‑42897, yang memengaruhi Microsoft Exchange Server on‑premises. Masalah ini disebabkan oleh improper neutralization of input during web page generation, yaitu bentuk kerentanan cross‑site scripting (XSS).

Beberapa detail penting:

• Mempengaruhi Exchange Server 2016, 2019, dan Subscription Edition.
• Dapat dieksploitasi dari jarak jauh melalui konten yang dirancang khusus yang berjalan dalam sesi Outlook on the web.
• Microsoft telah mengonfirmasi bahwa kerentanan ini sedang digunakan dalam serangan nyata.

Walaupun waktunya berdekatan dengan Pwn2Own Berlin, tidak ada bukti bahwa CVE‑2026‑42897 adalah kerentanan yang didemonstrasikan dalam kompetisi tersebut.

Apa yang terjadi setelah eksploit Pwn2Own

Pwn2Own diselenggarakan oleh Trend Micro Zero Day Initiative (ZDI) dan mengikuti proses coordinated disclosure.

Setelah sebuah eksploit berhasil didemonstrasikan:

1. Detail kerentanan diserahkan secara privat kepada vendor yang terdampak.
2. Vendor biasanya mendapat waktu sekitar 90 hari untuk mengembangkan dan merilis patch keamanan.
3. Detail teknis baru akan dipublikasikan setelah perbaikan tersedia bagi pengguna.

Pendekatan ini bertujuan memastikan kerentanan dapat diperbaiki sebelum informasi teknisnya diketahui publik atau dimanfaatkan oleh pelaku kejahatan siber.

Mengapa temuan ini penting

Hari pertama Pwn2Own Berlin 2026 memperlihatkan dua realitas penting dalam keamanan siber modern:

• Bahkan platform besar seperti Windows 11 dan Microsoft Edge masih memiliki bug yang bisa dirangkai menjadi serangan kompleks.
• Pada saat yang sama, penyerang nyata juga terus mengeksploitasi zero‑day, seperti yang terlihat pada kasus Exchange Server.

Kompetisi seperti Pwn2Own berfungsi sebagai “arena aman” bagi peneliti untuk menemukan kelemahan tersebut—sehingga vendor dapat memperbaikinya sebelum eksploit yang sama digunakan secara luas oleh penyerang.