Kết quả:
Sandbox của trình duyệt vốn được thiết kế để cô lập nội dung web với hệ điều hành. Khi thoát được khỏi sandbox, kẻ tấn công có thể tiến từ một trang web độc hại sang quyền truy cập sâu hơn vào hệ thống máy tính.
Hệ điều hành Windows 11 cũng trở thành mục tiêu lớn trong ngày thi đầu tiên. Ba nhóm nghiên cứu khác nhau đã chứng minh các lỗ hổng leo thang đặc quyền (privilege escalation) hoàn toàn mới.
Các trường hợp thành công gồm:
Loại lỗ hổng này cho phép kẻ tấn công từ quyền truy cập hạn chế nâng lên quyền quản trị (administrator) hoặc SYSTEM, mở đường cho việc kiểm soát toàn bộ máy tính.
Theo thống kê từ ban tổ chức:
Các mục tiêu trải dài từ hệ điều hành, trình duyệt, nền tảng AI, công cụ lập trình đến hạ tầng phần mềm, phản ánh mức độ phức tạp ngày càng tăng của hệ sinh thái công nghệ doanh nghiệp.
Trong khi Pwn2Own diễn ra trong môi trường thử nghiệm có kiểm soát, Microsoft cũng công bố một lỗ hổng zero‑day riêng biệt đang bị khai thác ngoài thực tế.
Lỗ hổng này được theo dõi với mã CVE‑2026‑42897 và ảnh hưởng đến Microsoft Exchange Server cài đặt tại chỗ (on‑premises).
Các chi tiết chính:
Dù hai sự kiện diễn ra gần thời điểm nhau, không có bằng chứng cho thấy CVE‑2026‑42897 chính là lỗ hổng được trình diễn tại Pwn2Own.
Các lỗ hổng được trình diễn tại Pwn2Own không được công khai ngay lập tức.
Quy trình thường diễn ra như sau:
Quy trình tiết lộ có trách nhiệm này giúp các công ty vá lỗ hổng trước khi thông tin kỹ thuật có thể bị kẻ tấn công lợi dụng.
Kết quả ngày đầu Pwn2Own Berlin 2026 phản ánh hai thực tế quan trọng trong an ninh mạng:
Những cuộc thi như Pwn2Own giúp chuyển các phát hiện này sang môi trường có kiểm soát — nơi các nhà nghiên cứu được thưởng, còn nhà cung cấp có thời gian vá lỗi trước khi tội phạm mạng kịp tận dụng chúng.
Comments
0 comments