Wouter Hoeffnagel - 29 mei 2026

Pwn2Own Berlijn: 47 nieuwe kwetsbaarheden opgespoord

Deelnemers ontdekten tijdens Pwn2Own Berlijn 47 nieuwe zero-day kwetsbaarheden in verschillende categorieën, zoals AI-databases, AI-agents, webbrowsers, bedrijfsapplicaties en servers. Het evenement is georganiseerd door TrendAI en voor het eerst gesponsord door NVIDIA, dat een eigen productcategorie introduceerde. Hierin konden onderzoekers kwetsbaarheden melden in producten als Megatron Bridge, NV Container Toolkit en Dynamo.

Security

Pwn2Own Berlijn: 47 nieuwe kwetsbaarheden opgespoord image

De via het Zero Day Initiative (ZDI) en Pwn2Own gerapporteerde kwetsbaarheden stellen leveranciers in staat om deze snel te begrijpen en te verhelpen voordat cybercriminelen ze misbruiken. Uit onderzoek van het ZDI blijkt echter dat leveranciers steeds vaker nalaten om gemelde softwarekwetsbaarheden te verhelpen. Dankzij het centrale proces van het ZDI profiteren klanten van TrendAI Vision One gemiddeld drie maanden eerder van bescherming dan de rest van de branche.

Opvallende bugs ontdekt

Tijdens het evenement waren er opvallende prestaties. Orange Tsai van het DEVCORE Research Team combineerde drie bugs om Remote Code Execution als SYSTEM op Microsoft Exchange te bereiken en ontving hiervoor 200.000 dollar. Daarnaast combineerden zij vier logische bugs voor een sandbox-escape op Microsoft Edge, goed voor 175.000 dollar. Splitline, eveneens van DEVCORE Research Team, combineerde twee bugs om Microsoft SharePoint te exploiteren en ontving 100.000 dollar.

Nguyen Hoang Thach van STARLabs SG gebruikte een geheugenbeschadigingsbug om VMware ESXi te exploiteren met de Cross-tenant Code Execution add-on, waarvoor hij 200.000 dollar en 20 Master of Pwn-punten ontving. Chompie van IBM X-Force Offensive Research (XOR) gebruikte één bug om NV Container Toolkit te exploiteren en ontving 50.000 dollar.

Rachel Jin, Head of TrendAI: “TrendAI gebruikt de meest geavanceerde threat intelligence in de branche om onze klanten te beschermen. De kwetsbaarheden die tijdens Pwn2Own worden ontdekt stellen de desbetreffende leveranciers in staat om deze snel te verhelpen. In de tussentijd worden onze klanten geholpen middels virtuele patches, waardoor ze al zijn beschermd voordat de officiële patch uitkomt. Naarmate AI-tools en -infrastructuur een steeds centralere rol gaan spelen in bedrijfsprocessen, is het cruciaal om kwetsbaarheden voor te blijven.”