Pwn2Own-facit: Pixel 10 faldt tre gange, Galaxy S26 syv gange

Opdateret 12. oktober 2026: Artiklen blev skrevet den 7. oktober, mens konkurrencens anden dag var i gang. Den er nu opdateret med de endelige resultater fra alle tre dage. Vi har rettet en fejl: Konkurrencen sluttede den 8. oktober og ikke den 9., som der stod. Oplysningen om, at Google Pixel 10 ikke var blevet brudt, gjaldt kun første dag og er erstattet af slutresultatet, og overskrift og manchet er ændret tilsvarende.

Google Pixel 10 klarede den første dag af hackerkonkurrencen Pwn2Own Ireland 2026 og blev derefter brudt tre gange på den sidste. Samsung Galaxy S26 blev kompromitteret i alt syv gange, og Philips Hue Bridge Pro og Sonos Era 300 fem gange hver. Sådan ser facit ud, efter at konkurrencen i Cork blev afviklet fra den 6. til den 8. oktober.

Hvis du har Hue-pærer i stuen, en Sonos-højttaler på reolen og en Galaxy eller Pixel i lommen, er det reelt hele dit hjem, der stod på listen. Det er grunden til, at konkurrencen er værd at følge for almindelige danske forbrugere og ikke kun for sikkerhedsfolk. Det er også grunden til, at det er værd at forstå præcis, hvad tallene dækker over, før man bliver nervøs.

Facit efter tre dage

Vi har talt forsøgene op enhed for enhed ud fra arrangøren Zero Day Initiatives resultatsider for de tre dage. Optællingen er vores egen. ZDI offentliggør hvert forsøg for sig og ikke en samlet tabel pr. produkt.

De samlede tal for hele konkurrencen står ikke i ZDI's resultatindlæg. Ifølge BleepingComputer endte udbetalingerne på 1.262.000 dollars for 98 zero-day-sårbarheder, fordelt på 388.500 dollars den første dag, 232.500 den anden og 641.000 den tredje. Tallet for første dag har ZDI selv bekræftet. Resten er BleepingComputers opgørelse.

Hvad en kollision er, og hvorfor ordet betyder noget

De fleste af resultaterne ovenfor er hos ZDI mærket "success / collision", og uden det ord læser man tallene forkert.

En kollision betyder, at mindst én af de fejl, holdet brugte, ikke var ny. Enten kendte producenten den allerede, eller også havde et andet hold brugt den tidligere i konkurrencen. Angrebet virkede stadig, og enheden blev stadig overtaget, men præmien bliver sat ned, og fejlen tæller ikke som et nyt fund.

Det har to konsekvenser for, hvordan resultaterne skal læses. Syv vellykkede angreb på Galaxy S26 er ikke det samme som syv nye huller i telefonen. Seks af de syv S26-resultater er mærket som kollisioner, og flere hold har altså helt eller delvist brugt de samme fejl. Omvendt er en kollision ikke en frifindelse. Enhederne i konkurrencen kører efter reglerne med den nyeste software, så en fejl, der allerede var kendt og stadig virkede, var endnu ikke rettet på det tidspunkt.

Google Pixel 10: holdt på dag ét, faldt tre gange på dag tre

På første dag var Pixel 10 den eneste store telefon, der klarede sig. Holdet White Noise Club (Mikhail Evdokimov, Polina Smirnova og Mate Zombor) nåede ikke at få deres angreb til at virke inden for den tildelte tid. Allerede dengang skrev vi, at et hold, der løber tør for tid, ikke gør en telefon usårlig.

På anden dag var der ingen resultater for Pixel 10. Det USB-angreb fra Kyeongmin Kim fra KAIST Hacking Lab, som vi omtalte i den første udgave af artiklen, optræder ikke på ZDI's resultatside. Ifølge BleepingComputer trak han forsøget tilbage, før dagen begyndte.

På tredje dag kom tre hold igennem, alle ifølge ZDI's resultater for den sidste dag:

Tilsammen er det 562.500 dollars for Pixel 10 alene (vores sammenlægning). De 300.000 dollars til Ikotas Labs var konkurrencens største enkeltpræmie, og ZDI skriver, at resultatet officielt gjorde holdet til vinder af den samlede titel, Master of Pwn. BleepingComputer opgør holdets slutresultat til 42,5 point og 361.000 dollars, foran Xint og Team ZyGoat.

Alle tre Pixel-resultater er mærket som kollisioner. Det ville derfor være forkert at skrive, at Pixel 10 faldt for tre nye, ukendte huller. ZDI oplyser ikke, hvilke fejl der gik igen, eller hvem der kendte dem i forvejen.

BleepingComputer bemærker desuden, at ingen deltagere havde tilmeldt et forsøg mod iPhone 17, selv om et fjernangreb på den kunne have udløst op til 300.000 dollars. Det er ikke det samme som, at iPhone bestod en prøve. Den blev ikke prøvet.

Galaxy S26: syv forsøg, syv gange igennem

Samsung Galaxy S26, den telefonserie, der sælger bedst i topsegmentet i Danmark, blev kompromitteret tre gange på første dag:

Som BleepingComputer påpegede efter første dag, var en del af fejlene i hvert af de tre forsøg allerede kendt af Samsung.

De følgende dage kom yderligere fire til:

Vi har ikke fundet et mislykket forsøg mod S26 på nogen af ZDI's tre resultatsider. Syv forsøg og syv gange igennem er derfor vores optælling. Et forbehold hører med: Resultatsiden for tredje dag viser 14 af de 17 forsøg, der var sat på programmet, og vi ved ikke, hvad de sidste tre gjaldt.

Philips Hue Bridge Pro og Sonos Era 300

Det mest opsigtsvækkende enkeltresultat i smart home-kategorien kom på første dag fra det vietnamesiske hold VinSOC. Forskerne Vũ Chí Thành og Huỳnh Đức Tin kædede syv zero-day-sårbarheder sammen for at kompromittere en Philips Hue Bridge Pro og fik 40.000 dollars for det. Samme dag kom Out of Bounds (ByungYoung Yi og KeunHo Kim) igennem for 12.000 dollars og Joohyun Park fra Xint for 6.000 dollars. I begge tilfælde var fire af fem fejl allerede kendt.

På tredje dag faldt broen to gange mere. Summoning Team (Sina Kheirkhah og Aaron Christophel) brugte fem fejl, og McCaulay Hudson brugte fire. Begge fik 5.000 dollars, og begge forsøg bestod udelukkende af kollisioner. Ingen af de to føjede altså noget nyt til listen over fejl i broen.

Det er værd at dvæle ved tallet syv fra første dag. At det krævede syv forskellige, hidtil ukendte fejl i forlængelse af hinanden at komme ind i broen, er faktisk en oplysning om, at barren er høj. En enkelt fejl var ikke nok. Det siger noget andet end "Hue er usikker".

Sonos Era 300 blev på første dag taget af McCaulay Hudson, som fik 50.000 dollars for en kæde, der blandt andet brugte en out-of-bounds-fejl og en format string-fejl. VinSOC kom også igennem og fik 17.500 dollars. På anden dag fulgte tre hold: Jack Dates fra RET2 Systems (9.500 dollars, én ny fejl og én kollision), Nguyen Thanh Dat og dungnm fra Viettel Cyber Security (10.500 dollars, to nye og én kollision) og Sina Kheirkhah fra Summoning Team (12.500 dollars, to fejl).

Listen stoppede ikke ved telefoner, lys og lyd. Smart home-centralen Home Assistant Green blev brudt syv gange på anden og tredje dag. Printerne Lexmark CX532adwe og Brother MFC-L8970CDW faldt, og det samme gjorde Canon imageFORCE 1643F på både anden og tredje dag. Blodtryksmåleren Garmin Index BPM blev taget af Interrupt Labs for 20.000 dollars på første dag, og på AI-siden tog Ikotas Labs OpenAI Codex med en enkelt argument injection-fejl til 40.000 dollars.

Hvad Pwn2Own er — og hvad det ikke er

Her er den del, der ofte forsvinder i overskrifterne, og den er afgørende for at læse resultaterne rigtigt.

Pwn2Own er en konkurrence afholdt af Zero Day Initiative, hvor professionelle sikkerhedsforskere får en fastsat tidsramme til at demonstrere et angreb mod et bestemt produkt, de har forberedt sig på i måneder. Enheden står på et bord i et lokale i Cork. Angriberen kender modellen, firmwareversionen og opsætningen på forhånd. Det er ikke et realistisk billede af, hvad en tilfældig kriminel kan gøre mod din bro i aftenens løb.

Og det vigtigste: fejlene bliver ikke offentliggjort. De overdrages fortroligt til producenten, som har 90 dage til at udsende rettelser, før detaljerne må beskrives offentligt. Regnet fra konkurrencens sidste dag, den 8. oktober, falder den frist omkring den 6. januar 2027. Datoen er vores egen udregning og ikke en, ZDI har meldt ud.

Vi har ledt efter udmeldinger fra Samsung, Google, Signify (ejeren af Philips Hue) og Sonos om, hvornår rettelserne kommer, og har ikke fundet nogen pr. 12. oktober. Det er ikke usædvanligt så kort efter konkurrencen, men det betyder, at ingen af de fire offentligt har sat dato på.

Så nej: der er ingen grund til at trække stikket ud af din Hue-bro i aften. Der er intet, der tyder på, at nogen af disse fejl bliver brugt mod almindelige brugere.

Det brugbare: opdater din firmware, også dét du har glemt

Den reelle lære af konkurrencen er mindre dramatisk og mere kedelig, end overskrifterne antyder, og den handler om timing. Rettelserne kommer. Spørgsmålet er, om de bliver installeret.

Her står smart home-udstyr i en særlig dårlig position. En telefon minder dig om opdateringer. En bro, der står bag fjernsynet, gør ikke. Fire konkrete ting, der er værd at gøre:

• Slå automatiske opdateringer til på din Hue-bro. I Philips Hue-appen findes indstillingen under enhedsindstillingerne for broen. Så behøver du ikke huske det.
• Tjek Sonos-appen for ventende systemopdateringer. Sonos-systemer kan stå måneder bagud, hvis man har afvist en opdatering én gang, fordi den krævede, at man genstartede musikken.
• Installer de månedlige sikkerhedsopdateringer på din Galaxy eller Pixel, når de kommer. Det er ad den vej, rettelserne til telefonerne bliver leveret.
• Giv ikke smart home-udstyr adgang udefra, medmindre du bruger det. Fjernadgang og port forwarding er den ene ting, der flytter en enhed fra "kun nåelig fra sofaen" til "nåelig fra internettet". De fleste har ikke brug for det.

Og sæt det i proportion: syv sammenkædede, ukendte fejl er en meget høj pris at betale for at komme ind i en lampebro. Det er den slags indsats, der giver mening, når præmien er 40.000 dollars og en plads på en rangliste — ikke når udbyttet er at slukke lyset i en dansk stue.

Konklusion

Pwn2Own Ireland 2026 sluttede den 8. oktober med et andet billede end det, første dag tegnede. Pixel 10 gik fra at være undtagelsen til at stå for konkurrencens største præmie, og Galaxy S26 blev brudt i alle de forsøg, ZDI har offentliggjort. De fleste af resultaterne mod de fem enheder var kollisioner, så antallet af reelt nye fejl er lavere, end antallet af vellykkede angreb antyder.

Næste milepæl for danske brugere er de 90 dage, der følger. Det er i det vindue, Signify, Sonos, Samsung og Google skal have rettelserne ud, og ingen af dem har endnu sagt hvornår.

Den bedste ting, du kan gøre som ejer af Hue-pærer, en Sonos-højttaler eller en af de to telefoner, er derfor banal: sørg for, at opdateringerne lander automatisk, så du ikke skal huske en nyhed fra oktober 2026, når rettelsen kommer omkring årsskiftet.

Hvis du vil se, hvordan det ser ud, når sårbarheder i hjemmeudstyr faktisk bliver udnyttet i praksis — og ikke på et bord i Cork — så er historien om Dahua-kameraerne med en bagdør, der overlever en fabriksnulstilling et nyttigt modstykke. Vi har også skrevet om Ring-kameraernes nye kryptering, om de sikkerhedshuller i Plex, der kræver, at du selv opdaterer din medieserver, og om den zero-day i Pixel-modemet, som Google lukkede tidligere i år.