Pwn2Own Berlin 2026 começa com 24 zero‑days explorados em Windows 11, Edge e plataformas de IA

O destaque do dia: fuga do sandbox no Microsoft Edge

A demonstração mais valiosa do primeiro dia veio de Cheng‑Da Tsai, conhecido como Orange Tsai, da DEVCORE Research Team.

O pesquisador conseguiu encadear quatro falhas lógicas para escapar do sandbox do navegador Microsoft Edge, um dos principais mecanismos de segurança do browser.

Com o exploit, Tsai ganhou US$ 175 mil e 17,5 pontos no ranking “Master of Pwn”, a maior premiação individual do dia.

Esse tipo de ataque é particularmente relevante porque navegadores modernos executam páginas da web em ambientes isolados (sandbox). Quando um atacante consegue escapar desse isolamento, ele pode acessar partes do sistema operacional que normalmente estariam protegidas.

Windows 11 comprometido três vezes

O Windows 11, principal sistema operacional da Microsoft, também foi alvo de ataques bem‑sucedidos no primeiro dia. Pesquisadores demonstraram três vulnerabilidades zero‑day de escalonamento de privilégios.

As demonstrações confirmadas incluem:

• Angelboy e TwinkleStar03 (programa de estágio da DEVCORE) — escalonamento de privilégios no Windows 11, US$ 30 mil.
• Marcin Wiązowski — escalonamento de privilégios no Windows 11, US$ 30 mil.
• Kentaro Kawane (GMO Cybersecurity) — escalonamento de privilégios no Windows 11, US$ 30 mil.

Explorações desse tipo permitem que um invasor que já tenha algum acesso ao sistema eleve seus privilégios para níveis mais altos, como administrador ou até controle total do sistema.

Números do primeiro dia da competição

No total, o primeiro dia do evento registrou:

• 24 vulnerabilidades zero‑day únicas demonstradas.
• 22 tentativas de exploração contra softwares populares.
• US$ 523 mil em recompensas pagas aos pesquisadores.

Os alvos incluíram sistemas operacionais, navegadores, ferramentas de IA, plataformas de desenvolvimento e softwares de infraestrutura — refletindo o aumento da superfície de ataque nos ambientes tecnológicos modernos.

Ao mesmo tempo: Microsoft alerta sobre zero‑day no Exchange

Enquanto pesquisadores demonstravam falhas em ambiente controlado no Pwn2Own, a Microsoft divulgou um zero‑day separado que já estava sendo explorado em ataques reais.

A vulnerabilidade, identificada como CVE‑2026‑42897, afeta instalações on‑premises do Microsoft Exchange Server. O problema envolve neutralização inadequada de entrada durante a geração de páginas web, um tipo de vulnerabilidade conhecido como cross‑site scripting (XSS).

Principais detalhes do problema:

• Afeta Exchange Server 2016, 2019 e Exchange Server Subscription Edition.
• Pode ser explorado remotamente por meio de conteúdo malicioso executado em sessões do Outlook on the Web.
• A Microsoft confirmou que a falha já está sendo explorada em ataques reais.

Apesar de ocorrer no mesmo período da competição, não há confirmação de que o CVE‑2026‑42897 tenha sido uma das falhas apresentadas no Pwn2Own.

O que acontece depois de um exploit no Pwn2Own

Após uma exploração bem‑sucedida, a Zero Day Initiative segue um processo de divulgação coordenada de vulnerabilidades.

Funciona assim:

1. Os pesquisadores entregam os detalhes técnicos da falha privadamente ao fabricante afetado.
2. O fornecedor geralmente recebe cerca de 90 dias para desenvolver e lançar um patch de segurança.
3. Os detalhes técnicos só são publicados depois que a correção está disponível.

Esse modelo busca equilibrar duas coisas: permitir que pesquisadores demonstrem técnicas reais de ataque e, ao mesmo tempo, dar tempo para que empresas corrijam as falhas antes que criminosos possam explorá‑las.

Por que esses resultados importam

O primeiro dia do Pwn2Own Berlin 2026 reforça duas realidades importantes da segurança digital:

• Mesmo plataformas maduras como Windows 11 e Microsoft Edge ainda contêm falhas exploráveis quando analisadas por especialistas.
• Ao mesmo tempo, zero‑days continuam sendo usados em ataques reais, como no caso recente do Exchange Server.

Eventos como o Pwn2Own ajudam a transformar descobertas potencialmente perigosas em correções de segurança antes que as mesmas falhas sejam usadas em larga escala por cibercriminosos.