Pwn2Own Ireland 2026 verse 1,26 million de dollars pour 98 failles zero-day
Pwn2Own Ireland 2026 s’est achevé le 9 octobre 2026 avec 98 failles zero-day démontrées et 1 262 000 dollars de primes, dominé par Ikotas Labs. Le palmarès confirme le basculement du terrain de chasse des chercheurs vers le mobile et l’infrastructure IA.
9 octobre 2026. Pwn2Own Ireland 2026 s’achève avec 1 262 000 dollars distribués pour 98 failles zero-day. Ikotas Labs remporte l’édition avec 42,5 points de Master of Pwn et 361 000 dollars en trois jours. 9 octobre 2026. Le Google Pixel 10 tombe trois fois le dernier jour, ce qui porte le total à 98 failles sur 29 équipes. Pourquoi c’est important : le concours de la Zero Day Initiative est un indicateur avancé — les catégories qu’il choisit révèlent où l’industrie anticipe le risque, et cette année, c’est le mobile et l’infrastructure IA.
Le palmarès, ou la concentration du talent
Les chiffres racontent une concentration. Ikotas Labs domine avec 42,5 points et 361 000 dollars, en enchaînant le Samsung Galaxy S26, OpenAI Codex et l’Oracle Autonomous AI Database. L’équipe a aussi décroché la plus grosse prime du concours — 300 000 dollars — en chaînant plusieurs zero-days pour compromettre le Google Pixel 10 le troisième jour.
Xint prend la deuxième place avec 240 000 dollars et 27,5 points. Team ZyGoat complète le podium avec 125 000 dollars et 27,5 points. La distance entre le premier et le deuxième — 121 000 dollars — illustre un fait récurrent du concours : quelques équipes concentrent l’essentiel de la valeur, et l’écart de primes reflète la profondeur de leur chaîne d’exploit plus que leur nombre de cibles.
Le déroulé jour par jour donne la mesure du rythme. Le premier jour, Interrupt Labs, Ikotas Labs et Nguyen Thanh Dat (Viettel Cyber Security) font tomber le Galaxy S26, pour 388 500 dollars et 32 zero-days. Le deuxième jour, 232 500 dollars récompensent 45 failles, avec PetoWorks, le KAIST Hacking Lab et une équipe réunissant Dimitrios Valsamaras, Ken Gannon et Tenia Valsamara (CENSUS Labs) qui reprennent le S26 trois fois de plus. Le troisième jour, 641 000 dollars tombent pour 21 failles.
Le mobile et l’IA, nouveaux terrains de chasse
Les 29 équipes se sont réparties sur sept catégories : téléphones mobiles (Galaxy S26 et Pixel 10), infrastructure IA, applications de codage IA, applications de messagerie, objets connectés, imprimantes, et une catégorie inédite dédiée aux dispositifs de santé et de bien-être.
Deux catégories dominent le récit : le mobile et l’IA. Le Galaxy S26 et le Pixel 10 ont été attaqués à répétition, signe que les smartphones haut de gamme restent la cible la plus riche en primes. La présence d’OpenAI Codex, de l’Oracle Autonomous AI Database et d’une catégorie « applications de codage IA » marque en revanche un tournant : l’infrastructure et les agents IA sont désormais traités comme une surface d’attaque autonome, au même titre qu’un navigateur ou un noyau.
C’est le point à retenir pour un RSSI. Il y a cinq ans, une catégorie « IA » n’existait pas dans ce concours. Aujourd’hui, elle fournit la plus grosse prime de l’édition. Le marché de la vulnérabilité — et donc l’effort des attaquants — se déplace vers les agents, les bases vectorielles et les chaînes de codage assisté.
L’iPhone resté sur la table
Le détail le plus paradoxal tient à ce qui n’a pas été attaqué. Apple avait mis un iPhone 17 en jeu, avec une prime maximale de 300 000 dollars pour une compromission à distance. Aucune équipe ne s’est inscrite pour tenter le coup.
Il faut se garder d’en conclure que l’iPhone 17 est invulnérable. La raison est économique : une compromission à distance d’un iPhone exige une chaîne d’exploit longue et coûteuse, souvent réservée à des acteurs qui préfèrent la vendre discrètement à des courtiers plutôt que de la démontrer publiquement pour 300 000 dollars. Le vide autour de l’iPhone dit moins la sécurité d’iOS que le prix de marché d’un exploit à distance sur cette cible.
C’est une lecture utile pour la défense. Les cibles que les chercheurs choisissent de démontrer en public sont celles où le rapport effort/prime est le plus favorable — autrement dit, celles où l’exploitation est la plus mûre. L’absence de l’iPhone au palmarès ne doit pas rassurer ; elle déplace simplement l’inquiétude vers les cibles réellement tombées.
Ce que 98 zero-days veulent dire pour un défenseur
98 failles zero-day en trois jours, c’est un rappel brutal de l’asymétrie : une seule équipe motivée produit, sur un week-end, plus de failles exploitables qu’un éditeur n’en corrige en un cycle. Mais le concours n’est pas qu’un spectacle de primes.
Chaque zero-day démontré est divulgué à l’éditeur, qui a 90 jours pour publier un correctif avant que ZDI ne rende les détails publics. La conséquence pratique est une vague de correctifs différée : les failles d’aujourd’hui deviennent des bulletins de sécurité publics dans environ trois mois. Un défenseur qui suit le palmarès sait donc à l’avance quels produits vont recevoir des correctifs critiques dans le trimestre à venir.
L’année dernière donne la tendance. Pwn2Own Ireland 2025 avait démontré 73 failles pour 1 024 750 dollars ; Summoning Team l’avait emporté avec 187 500 dollars. Le passage de 73 à 98 failles et de 1,02 à 1,26 million de dollars en un an mesure l’accélération du marché, pas seulement la générosité des primes.
La recommandation est simple : traitez le palmarès comme une alerte précoce. Si votre parc contient des Galaxy S26, des Pixel 10, des agents de codage IA ou des bases de données autonomes, attendez-vous à des correctifs critiques imminents — et préparez vos fenêtres de maintenance en conséquence.
Verdict
Si vous gérez un parc mobile Android, priorisez dès maintenant la veille sur les correctifs Samsung et Google : le Galaxy S26 et le Pixel 10 ont été compromis à plusieurs reprises, et leurs correctifs arrivent dans les 90 jours. Si vous déployez des agents ou de l’infrastructure IA, ajoutez-les explicitement à votre inventaire de surface d’attaque et à vos cycles de patch — le concours en a fait sa catégorie la plus rentable. Si vous suivez le marché de la vulnérabilité, lisez le palmarès comme un thermomètre de maturité d’exploitation : là où les primes sont les plus hautes, c’est là que les attaquants sont déjà au travail.