Pwn2Own Berlin 2026: Windows 11, Edge и AI‑платформы взломаны 24 нулевыми уязвимостями

Самой ценной демонстрацией стала атака исследователя Чэн‑Да Цая (Cheng‑Da Tsai), известного как Orange Tsai, из команды DEVCORE Research Team.

Он объединил четыре логические уязвимости, чтобы выполнить выход из песочницы (sandbox escape) в браузере Microsoft Edge.

За эту демонстрацию исследователь получил:

• $175 000 призовых
• 17,5 балла Master of Pwn — рейтинга участников конкурса

Выход из песочницы считается особенно опасным типом уязвимости. Современные браузеры изолируют веб‑контент в защищённой среде, и если атакующий выходит за её пределы, он может получить доступ к самой операционной системе.

Windows 11 взломали три раза за один день

Флагманская операционная система Microsoft также стала одной из главных целей. В течение первого дня исследователи трижды успешно атаковали Windows 11, используя новые уязвимости повышения привилегий (privilege escalation).

Успешные демонстрации провели:

• Angelboy и TwinkleStar03 (DEVCORE Internship Program) — повышение привилегий в Windows 11, $30 000.
• Marcin Wiązowski — повышение привилегий в Windows 11, $30 000.
• Kentaro Kawane (GMO Cybersecurity) — повышение привилегий в Windows 11, $30 000.

Такие уязвимости позволяют атакующему, уже имеющему ограниченный доступ к системе, получить администраторские или SYSTEM‑права, что фактически означает полный контроль над устройством.

Итоги первого дня

По результатам стартового дня конкурса:

• показано 24 уникальные zero‑day‑уязвимости
• выполнено 22 демонстрации атак на популярные платформы
• выплачено $523 000 призовых

Среди целей были операционные системы, браузеры, AI‑инструменты, платформы для разработчиков и инфраструктурное ПО. Это отражает растущую сложность современной цифровой экосистемы и количество потенциальных точек атаки.

Параллельно: другая zero‑day‑уязвимость в Microsoft Exchange

Интересно, что во время проведения конкурса Microsoft одновременно раскрыла отдельную zero‑day‑уязвимость, которая уже используется в реальных атаках.

Речь идёт о CVE‑2026‑42897, затрагивающей локальные установки Microsoft Exchange Server.

Основные факты о ней:

• причина — неправильная фильтрация пользовательского ввода при генерации веб‑страниц (уязвимость типа XSS — cross‑site scripting)
• затронуты Exchange Server 2016, 2019 и Subscription Edition
• атака может выполняться удалённо через вредоносный контент в Outlook on the Web
• Microsoft подтвердила активное использование уязвимости злоумышленниками

Важно: несмотря на совпадение по времени, нет подтверждений, что эта уязвимость была одной из тех, что демонстрировали участники Pwn2Own.

Что происходит после демонстрации эксплойтов

Все уязвимости, показанные на Pwn2Own, проходят процесс координированного раскрытия (coordinated disclosure), который организует программа Zero Day Initiative (ZDI) компании Trend Micro.

После успешной атаки происходит следующее:

1. Детали уязвимости конфиденциально передаются разработчику продукта.
2. Компании обычно получают около 90 дней, чтобы разработать и выпустить исправление.
3. Технические подробности публикуются только после выхода патча.

Такая схема позволяет исследователям демонстрировать реальные техники атак, не подвергая пользователей дополнительному риску.

Почему результаты важны

Первый день Pwn2Own Berlin 2026 хорошо показывает две реальности современной кибербезопасности.

С одной стороны, даже зрелые платформы вроде Windows 11 и Microsoft Edge продолжают содержать сложные уязвимости, которые опытные исследователи могут объединять в полноценные цепочки атак.

С другой стороны, настоящие злоумышленники тоже активно используют zero‑day‑уязвимости, как показывает ситуация с Exchange Server.

Главная цель Pwn2Own — перенести такие находки из «тени» в контролируемую среду, чтобы у производителей появилось время выпустить исправления до того, как уязвимости начнут массово использоваться в атаках.