O evento Pwn2Own Berlin 2026 abriu com uma série de exploits de zero-day que visaram navegadores modernos, sistemas operacionais e plataformas emergentes de inteligência artificial. Os pesquisadores conseguiram hackear o Microsoft Edge, Windows 11 e LiteLLM, ganhando um total de 523.000 dólares por 24 vulnerabilidades únicas.
Edge Sandbox Escape
Uma das demonstrações mais impactantes veio de Orange Tsai da equipe de pesquisa DEVCORE, que executou um escape de sandbox sofisticado contra o Microsoft Edge. O exploit encadeou quatro vulnerabilidades de lógica distintas, transformando falhas menores em uma comprometeção total do sistema.
Windows 11 Privilege Escalations
O Windows 11 emergiu como outro alvo principal, com vários ataques de escalonamento de privilégios bem-sucedidos ao longo do dia. Pesquisadores posteriores demonstraram ataques usando overflow de buffer baseado em heap e vulnerabilidades use-after-free. Angelboy e TwinkleStar03 da DEVCORE exploraram uma falha de controle de acesso inadequado para obter privilégios elevados.
LiteLLM Exploited
A infraestrutura de IA enfrentou sérios escrutínios, com o LiteLLM caindo para um exploit de cadeia completa pelo pesquisador k3vg3n. O ataque combinou três vulnerabilidades, incluindo Server-Side Request Forgery (SSRF) e injeção de código, permitindo a tomada de controle total do sistema.
AI and Developer Tools Under Pressure
Outros alvos focados em IA também sofreram comprometeções bem-sucedidas. O OpenAI Codex foi explorado usando uma falha CWE-150 por pesquisadores da Compass Security. A Megatron Bridge da NVIDIA foi violada várias vezes devido a listas de permissão excessivamente permissivas e vulnerabilidades de travessia de caminho.
Implicações para a Indústria
Esses resultados destacam uma realidade crescente de que ecossistemas de IA e tecnologias empresariais essenciais estão cada vez mais expostos a ataques complexos e encadeados. A segurança de ferramentas de desenvolvimento e plataformas de IA ainda está amadurecendo em termos de design seguro e resiliência contra ameaças.
Recomendações para CISOs
- Atualizar navegadores e sistemas operacionais imediatamente após a divulgação de patches.
- Revisar políticas de segurança para plataformas de IA e ferramentas de desenvolvimento.
- Implementar monitoramento contínuo para detectar tentativas de exploração de zero-days.
Conclusão
O Pwn2Own Berlin 2026 oferece um aviso claro para fornecedores e empresas sobre a necessidade de priorizar a segurança em todas as camadas de tecnologia, especialmente em áreas emergentes como inteligência artificial e ferramentas de desenvolvimento.