Índice de contenidos
Claves de la noticia
- El segundo día de Pwn2Own Ireland registra ataques exitosos contra Galaxy S26, Home Assistant Green y sistemas de infraestructura de IA.
- Un recuento propio de la instantánea del organizador identifica 20 éxitos en 23 resultados publicados; doce incluyen coincidencias con fallos ya conocidos por el concurso.
- Las tres cadenas contra el Galaxy S26 suman siete usos de vulnerabilidades, pero solo dos fallos nuevos acreditados: victorias y nuevos agujeros no son magnitudes equivalentes.
El Galaxy S26 ha sido comprometido en tres demostraciones de la segunda jornada de Pwn2Own Ireland 2026, según los resultados publicados por Zero Day Initiative (ZDI) este 7 de octubre. El balance también alcanza a controladores domésticos, altavoces, impresoras y bases de datos. Sin embargo, leer cada victoria como una vulnerabilidad nueva exageraría el descubrimiento: varias cadenas reutilizan problemas que el organizador ya conocía.
Tres cadenas, dos fallos nuevos en el Galaxy S26
El primer éxito corresponde a Dimitrios Valsamaras, Ken Gannon y Tenia Valsamara, vinculados a Mobile Hacking Lab y CENSUS Labs. ZDI describe un único fallo de tipo confused deputy, clasificado como CWE-441. Esa categoría identifica una situación en la que un componente con autoridad puede ser inducido a actuar de forma indebida para otro. La nota acredita la demostración, pero no publica los detalles necesarios para reproducirla.
Kyeongmin Kim, de KAIST Hacking Lab, consiguió después una explotación remota mediante una cadena con un fallo nuevo y dos coincidencias. PetoWorks logró otro acceso remoto con tres coincidencias. El calificativo remoto procede del organizador; no permite deducir, sin la documentación técnica, que cualquier teléfono expuesto a internet pueda ser atacado sin interacción.
La comparación de los tres registros permite una conclusión concreta. Sumando los componentes declarados, aparecen siete usos de bugs: dos nuevos y cinco coincidencias. Es un recuento de componentes utilizados en las cadenas, no siete vulnerabilidades únicas. El último equipo consiguió su objetivo sin que el registro le atribuyera un fallo nuevo. Eso demuestra por qué la novedad del descubrimiento y la eficacia de una explotación deben leerse por separado.
Doce victorias incorporan coincidencias
Para comprobar el alcance del parte, se han contado los párrafos de resultados que ZDI marca como éxito o fracaso, manteniendo las cadenas con coincidencias dentro de los éxitos. La copia consultada declara una actualización a las 19:42 UTC del 7 de octubre y contiene 23 registros: 20 exitosos y tres fallidos. Doce de los veinte éxitos llevan la etiqueta de coincidencia.
La siguiente tabla agrupa esos registros por objetivo. No cuenta investigadores, premios ni fallos individuales. El organizador anunciaba 24 intentos para el día; por tanto, esta instantánea no debe confundirse con un cierre completo de la jornada. Tampoco permite reconstruir un total de vulnerabilidades nuevas cuando algunos partes no especifican cuántos componentes contiene cada cadena.
| Objetivo | Éxitos | Fracasos |
|---|---|---|
| Home Assistant Green | 5 | 1 |
| Samsung Galaxy S26 | 3 | 0 |
| Sonos Era 300 | 3 | 0 |
| Lexmark CX532adwe | 3 | 0 |
| Oracle Autonomous AI Database | 2 | 0 |
| Chroma | 1 | 1 |
| Dynamo | 1 | 0 |
| Canon imageFORCE 1643F | 1 | 0 |
| Garmin Index BPM | 1 | 0 |
| Brother MFC-L8970CDW | 0 | 1 |
El resultado más importante de esta clasificación no es una clasificación de marcas seguras e inseguras. Una prueba fallida solo indica que ese intento no alcanzó el objetivo bajo las condiciones del concurso. En cambio, la presencia de coincidencias en doce victorias indica que sumar titulares de ataques exitosos no ofrece un inventario fiable de descubrimientos.
Home Assistant concentra cadenas de hasta seis componentes
Home Assistant Green aparece en seis registros del parte, con cinco éxitos y un fracaso. Doyensec utilizó tres fallos que ZDI clasifica íntegramente como conocidos. PetoWorks encadenó cinco componentes, de los que tres eran nuevos y dos coincidencias. Kyeongmin Kim reunió uno nuevo y tres coincidencias. El registro de Yves Bieri acredita otra victoria, aunque no detalla en ese párrafo el número de fallos.
La última entrada de la instantánea atribuye a McCaulay una cadena de seis bugs: cinco nuevos y una coincidencia. La publicación oficial de ZDI sobre esa demostración, fechada a las 19:39 UTC, confirma esa composición y un premio de 7.000 dólares. La atribución conserva la información esencial incluso si el contenido social no carga.
@_McCaulay strikes again and down goes Home Assistant Green once again! With a 6 bug chain, including 1 collision and 5 zero-days, the net total winnings is $7k & 2.75 Master of Pwn points #Pwn2Own pic.twitter.com/BagZO62mAk
— TrendAI Zero Day Initiative (@thezdi) October 7, 2026
Estas cadenas plantean una cuestión distinta de la alimentación o de la apertura de una puerta. Como muestra el diseño de la cerradura Ring y su recarga de emergencia, resolver una avería eléctrica no acredita la seguridad del software. Aquí el dato comprobado es la explotación de un controlador concreto; no permite extender el resultado a toda instalación de Home Assistant ni a dispositivos ajenos a la prueba.
Un fallo conocido puede seguir pendiente de corrección
Las reglas del concurso explican la aparente contradicción de premiar coincidencias. El organizador puede aceptar una entrada que use vulnerabilidades previamente conocidas y reducir el premio; contempla incluso casos en los que el fabricante todavía no ha publicado un parche. Por eso, conocido no significa automáticamente corregido, público o explotado por delincuentes.
ZDI coordina la comunicación con los proveedores. Su política general concede 120 días para corregir una vulnerabilidad cuando el fabricante responde, con excepciones y plazos específicos para otros supuestos. Esa política no fija por sí sola la fecha de una actualización para estos dispositivos. El parte tampoco sustituye un aviso de seguridad con versiones afectadas y remediación.
Para interpretar el riesgo, conviene mantener la distinción con los ataques observados contra productos de Atlassian: una demostración controlada y una campaña real aportan evidencias diferentes. Pwn2Own acredita que las cadenas funcionaron ante el organizador. La conclusión útil de esta jornada es más precisa que un número espectacular de agujeros: varias explotaciones exitosas combinan descubrimientos nuevos con problemas ya identificados, y la remediación deberá evaluarse en los avisos de cada proveedor.
Imagen: recreación conceptual generada con IA para Tecnología Today; no es una fotografía del concurso.
