Trois équipes ont percé un Pixel 10 entièrement à jour. L'iPhone 17 est resté intact.

Le concours qui avait démonté un pont Philips Hue avant midi mardi s'est terminé à Cork jeudi. Total final : 1 262 000 dollars distribués pour 98 failles zero-day distinctes, réparties sur 29 équipes de recherche.

Le dernier jour a appartenu au Pixel 10 de Google. Trois équipes y sont entrées à distance, c'est-à-dire via un navigateur ou par NFC, Wi-Fi, Bluetooth ou le modem cellulaire, et non avec le téléphone en main. Ikotas Labs a enchaîné plusieurs bogues pour 300 000 dollars et a décroché le titre de Master of Pwn avec 361 000 dollars sur quatre réussites. Xint a empoché 150 000, et l'équipe formée de Dimitrios Valsamaras, Ken Gannon et Tenia Valsamara 112 500. Le Galaxy S26 de Samsung est tombé six fois dans la semaine. L'iPhone 17 d'Apple a été la seule cible que personne n'a réussi à prendre, malgré un prix de 300 000 dollars posé dessus.

Le reste de la liste, ce sont les objets des maisons ordinaires. Une enceinte Sonos Era 300 est tombée en moins d'une minute face à Jack Dates, de RET2 Systems. Interrupt Labs a fait tourner DOOM sur l'écran de commande d'une imprimante Lexmark. Team MAMMOTH a clôturé l'événement en chaînant six zero-day contre un hub Home Assistant Green. Chaque appareil tournait avec le micrologiciel à jour au moment de l'attaque, et c'est tout l'intérêt de l'exercice.

Les fabricants disposent de 90 jours avant que les détails techniques ne deviennent publics, donc les correctifs arriveront dans les mises à jour courantes d'ici janvier, le plus souvent sans annonce. Autant savoir ce qui se trouve vraiment sur votre réseau d'ici là. L'analyse réseau de Tendvane liste chaque appareil connecté à votre box, y compris ceux que vous aviez oubliés.