Pwn2Own Berlin 2026初日：Windows 11やEdgeなどで24件のゼロデイ発見、賞金総額52万3,000ドル

ドイツ・ベルリンで開催されたハッキングコンテスト Pwn2Own Berlin 2026 は、初日から大きな成果が相次いだ。セキュリティ研究者たちは Windows 11、Microsoft Edge、Linux、AI関連ソフトウェア などを対象に 24件の未公開脆弱性（ゼロデイ） を実証し、合計 52万3,000ドル（約8,000万円弱） の賞金を獲得した。

とくにMicrosoft製品は主要ターゲットとなり、Windows 11 と Edgeブラウザ が複数回突破された。

最大の成果：Microsoft Edgeのサンドボックス脱出

初日で最も高額の報酬を得たのは、DEVCORE Research TeamのCheng‑Da Tsai（通称 Orange Tsai）。彼は 4つのロジックバグを連鎖させる攻撃チェーン を使い、Microsoft Edgeのサンドボックスを突破することに成功した。

このデモは

• 賞金 175,000ドル
• Master of Pwnポイント 17.5点

を獲得し、初日最大の成果となった。

ブラウザのサンドボックスは、WebページのコードがOSへ直接アクセスできないよう隔離する重要な防御機構だ。ここを突破できると、悪意あるWebコンテンツからOS内部への侵入経路が開かれてしまう。

Windows 11も初日に3回突破

Microsoftの主力OS Windows 11 も、初日だけで 3回侵害に成功された。いずれも 権限昇格（Privilege Escalation）型のゼロデイ である。

成功した研究者は以下の通り。

• Angelboy と TwinkleStar03（DEVCORE Internship Program） — Windows 11権限昇格、賞金 30,000ドル
• Marcin Wiązowski — Windows 11権限昇格、賞金 30,000ドル
• Kentaro Kawane（GMO Cybersecurity） — Windows 11権限昇格、賞金 30,000ドル

権限昇格攻撃は、すでにシステムに侵入した攻撃者が 一般ユーザー権限から管理者やSYSTEM権限へ拡大するための重要なステップ とされる。

初日の全体結果

初日の競技結果をまとめると次の通り。

• 24件のゼロデイ脆弱性が実証
• 22件の攻撃デモ が主要ソフトウェアを対象に実施
• 研究者への 総賞金は523,000ドル

対象はOSやブラウザだけでなく、AIツール、開発プラットフォーム、インフラソフトウェアなど幅広く、現代のIT環境の攻撃面が拡大していることを示している。

同時期に発覚したExchange Serverの実戦ゼロデイ

Pwn2Ownが行われていた同じ時期、Microsoftは別の重大な問題を公表した。

それが Microsoft Exchange Serverのゼロデイ脆弱性「CVE‑2026‑42897」 だ。

この脆弱性は

• Webページ生成時の入力処理不備 による クロスサイトスクリプティング（XSS）
• Exchange Server 2016 / 2019 / Subscription Edition に影響
• Outlook on the Webのセッションを標的 に悪用可能

とされ、Microsoftは 実際の攻撃で悪用されていることを確認している。

ただし、Pwn2Ownで実証されたゼロデイと CVE‑2026‑42897が同一の脆弱性であるという確認された証拠はない。

Pwn2Ownで発見された脆弱性はその後どうなるのか

Pwn2Ownは、Trend Microの Zero Day Initiative（ZDI） が運営する「協調的脆弱性開示（coordinated disclosure）」モデルで進められる。

成功した場合の流れは次の通り。

1. 脆弱性の詳細は まずベンダーへ非公開で共有
2. ベンダーには通常 約90日間の修正期間 が与えられる
3. パッチ公開後に技術詳細が公開 される

この仕組みにより、研究者は実際の攻撃技術を示しながらも、犯罪者に悪用される前にベンダーが修正できる時間を確保できる。

なぜこのイベントが重要なのか

Pwn2Own Berlin 2026の初日は、サイバーセキュリティの現実を象徴する出来事だった。

• Windows 11やEdgeのような成熟した製品でも、熟練研究者は攻撃チェーンを構築できる
• 同時に、Exchange Serverのように実際の攻撃でゼロデイが悪用されているケースも存在する

Pwn2Ownの狙いは、こうした脆弱性を犯罪者より先に発見し、公開される前にパッチへ変えることにある。