Pwn2Own Berlin 2026 วันแรก: 24 Zero‑Day โค่น Windows 11, Edge และแพลตฟอร์ม AI

Sandbox ในเบราว์เซอร์ถูกออกแบบมาเพื่อแยกเนื้อหาเว็บออกจากระบบปฏิบัติการหลัก ดังนั้นการหลบหนีออกจาก sandbox ได้จึงมีความสำคัญมาก เพราะหมายความว่าผู้โจมตีสามารถยกระดับจากหน้าเว็บที่ถูกโจมตีไปยังระบบปฏิบัติการของเครื่องได้

Windows 11 ถูกเจาะ 3 ครั้งในวันเดียว

ระบบปฏิบัติการหลักของ Microsoft อย่าง Windows 11 ถูกโจมตีสำเร็จ สามครั้งในวันแรกของการแข่งขัน ผ่านช่องโหว่ประเภท Privilege Escalation หรือการยกระดับสิทธิ์

ตัวอย่างการสาธิตที่สำเร็จ ได้แก่

• Angelboy และ TwinkleStar03 (โครงการ DEVCORE Internship) — เจาะ Windows 11 เพื่อยกระดับสิทธิ์ รับรางวัล 30,000 ดอลลาร์
• Marcin Wiązowski — ช่องโหว่ยกระดับสิทธิ์ใน Windows 11 รับรางวัล 30,000 ดอลลาร์
• Kentaro Kawane (GMO Cybersecurity) — ช่องโหว่ยกระดับสิทธิ์ใน Windows 11 รับรางวัล 30,000 ดอลลาร์

ช่องโหว่ประเภท Privilege Escalation มักถูกใช้หลังจากผู้โจมตีสามารถเข้าถึงระบบได้บางส่วนแล้ว เพื่อยกระดับสิทธิ์จนได้สิทธิ์ระดับ Administrator หรือ SYSTEM ซึ่งเปิดทางให้ควบคุมเครื่องได้แทบทั้งหมด

ภาพรวมผลการแข่งขันวันแรก

สรุปผลการแข่งขันวันแรกของ Pwn2Own Berlin 2026

• มีการสาธิต Zero‑Day ใหม่ 24 รายการ
• มีความพยายามโจมตีระบบต่าง ๆ รวม 22 รายการ
• เงินรางวัลรวมทั้งวันอยู่ที่ 523,000 ดอลลาร์

เป้าหมายของการทดสอบไม่ได้มีแค่ระบบปฏิบัติการหรือเบราว์เซอร์เท่านั้น แต่ยังรวมถึง แพลตฟอร์ม AI เครื่องมือสำหรับนักพัฒนา และซอฟต์แวร์โครงสร้างพื้นฐาน ซึ่งสะท้อนว่าพื้นที่การโจมตีในโลกไอทีสมัยใหม่ขยายตัวอย่างมาก

ช่วงเวลาเดียวกัน: Microsoft เปิดเผย Zero‑Day ของ Exchange Server

ในช่วงเวลาใกล้เคียงกัน Microsoft ยังออกคำเตือนเกี่ยวกับ ช่องโหว่ Zero‑Day อีกตัวหนึ่งที่กำลังถูกโจมตีจริงในโลกออนไลน์

ช่องโหว่นี้มีรหัส CVE‑2026‑42897 และส่งผลกระทบต่อ Microsoft Exchange Server ที่ติดตั้งภายในองค์กร (on‑premises) โดยเกิดจากการจัดการอินพุตในหน้าเว็บไม่เหมาะสม ซึ่งเป็นช่องโหว่ประเภท Cross‑Site Scripting (XSS)

รายละเอียดสำคัญของช่องโหว่นี้ ได้แก่

• กระทบ Exchange Server 2016, 2019 และ Subscription Edition
• ผู้โจมตีสามารถส่งเนื้อหาที่ออกแบบมาเพื่อรันโค้ดใน Outlook on the web session ของผู้ใช้
• Microsoft ยืนยันว่าช่องโหว่นี้ กำลังถูกใช้โจมตีจริงอยู่ในขณะนี้

แม้ว่าจะเกิดขึ้นในช่วงเวลาเดียวกับการแข่งขัน Pwn2Own แต่ ยังไม่มีหลักฐานว่าช่องโหว่ CVE‑2026‑42897 เป็นช่องโหว่ที่ถูกสาธิตในการแข่งขัน

หลังจากการสาธิตช่องโหว่เกิดอะไรขึ้นต่อ

การแข่งขัน Pwn2Own ดำเนินการภายใต้กระบวนการ Coordinated Vulnerability Disclosure ที่จัดโดย Zero Day Initiative (ZDI) ของ Trend Micro

หลังจากนักวิจัยสาธิตการโจมตีสำเร็จ

1. รายละเอียดช่องโหว่จะถูก ส่งให้ผู้ผลิตซอฟต์แวร์แบบส่วนตัว
2. ผู้ผลิตมักมีเวลาประมาณ 90 วันในการพัฒนาและปล่อยแพตช์แก้ไข
3. รายละเอียดทางเทคนิคของช่องโหว่จะถูกเปิดเผยต่อสาธารณะ หลังจากมีแพตช์แล้วเท่านั้น

แนวทางนี้ช่วยให้บริษัทซอฟต์แวร์มีเวลาแก้ไขปัญหาก่อนที่ข้อมูลการโจมตีจะถูกเผยแพร่ ซึ่งลดโอกาสที่อาชญากรไซเบอร์จะนำช่องโหว่ไปใช้โจมตีผู้ใช้จริง

ทำไมผลการแข่งขันนี้จึงสำคัญ

ผลลัพธ์จากวันแรกของ Pwn2Own Berlin 2026 สะท้อนความจริงสองด้านของโลกไซเบอร์

ด้านหนึ่งคือ แม้แต่แพลตฟอร์มขนาดใหญ่และพัฒนาอย่างต่อเนื่องอย่าง Windows 11 และ Microsoft Edge ก็ยังมีช่องโหว่ที่สามารถนำมาเชื่อมต่อกันเพื่อโจมตีได้

อีกด้านหนึ่งคือ ภัยคุกคามในโลกจริงยังคงเกิดขึ้นพร้อมกัน ดังเช่นช่องโหว่ Exchange Server ที่ถูกโจมตีจริงในช่วงเวลาเดียวกัน

การแข่งขันอย่าง Pwn2Own จึงมีบทบาทสำคัญในการเปลี่ยนการค้นพบช่องโหว่ให้กลายเป็น แพตช์และการป้องกันก่อนที่ผู้ไม่หวังดีจะนำไปใช้โจมตีในวงกว้าง