Ikotas Labs gelangen Angriffe auf das Samsung Galaxy S26, OpenAI Codex und die Oracle Autonomous AI Database. Am dritten Tag kassierte das Team zudem die höchste Einzelprämie des Wettbewerbs in Höhe von 300.000 Dollar, nachdem es mehrere Zero-Days zu einer Kette verbunden und damit das Google Pixel 10 kompromittiert hatte.
Den zweiten Platz belegte Xint mit 240.000 Dollar und 27,5 Punkten, Dritter wurde Team ZyGoat mit 125.000 Dollar Preisgeld und ebenfalls 27,5 Punkten.
Am ersten Tag knackten Interrupt Labs, Ikotas Labs sowie Nguyen Thanh Dat von Viettel Cyber Security Samsungs Flaggschiff Galaxy S26 – einige der ausgenutzten Fehler waren dem Hersteller allerdings bereits bekannt. Insgesamt kamen am Auftakttag 388.500 Dollar für 32 vorgeführte Zero-Days zusammen.
Am zweiten Tag gab es 232.500 Dollar für 45 einzigartige Zero-Day-Schwachstellen. Hervor stachen PetoWorks, Kyeongmin Kim vom KAIST Hacking Lab sowie ein Team mit Dimitrios Valsamaras, Ken Gannon und Tenia Valsamara von CENSUS Labs, die das Galaxy S26 drei weitere Male übernahmen.
Am Abschlusstag erlangten Forscher erneut Root-Rechte auf dem Galaxy S26 und kompromittierten das Google Pixel 10 dreimal. In der Summe wurden an diesem Tag 21 Zero-Days ausgenutzt und 641.000 Dollar ausgezahlt.
29 Forschungsteams traten in sieben Kategorien an: Mobiltelefone (Samsung Galaxy S26 und Google Pixel 10), KI-Infrastruktur, KI-Programmierwerkzeuge, Messenger-Apps, Smart-Home-Geräte, Drucker sowie eine neue Kategorie für Wellness- und Gesundheitsgeräte. Auch Apples iPhone 17 stand als Ziel bereit, mit einer Höchstprämie von 300.000 Dollar für einen Angriff aus der Ferne – dafür meldete sich jedoch kein Teilnehmer an.
Ausgerichtet wird der Wettbewerb von der Zero Day Initiative (ZDI) von Trend Micro, die Zero-Days aufspüren will, bevor Angreifer sie ausnutzen. Die Regeln verlangen, dass alle Geräte und Produkte auf der neuesten Firmware laufen und die Teilnehmer das Ziel kompromittieren und beliebigen Code ausführen können. Hersteller haben 90 Tage Zeit, die vorgeführten Lücken zu schließen, bevor die ZDI Details veröffentlicht.
Beim Pwn2Own Ireland 2025 waren 73 Zero-Days demonstriert und 1.024.750 Dollar ausgezahlt worden. Damals gewann Summoning Team mit 187.500 Dollar nach Angriffen auf das Samsung Galaxy S25, Home Assistant Green, das QNAP TS-453E NAS und mehrere Synology-Geräte.