Pwn2Own: Samsung Galaxy S26 mit einer einzigen präparierten E-Mail gehackt

Beim Pwn2Own-Hacker-Wettbewerb in Irland haben Sicherheitsforscher die Ausführung von Code aus der Ferne auf einem Samsung Galaxy S26 demonstriert. Das Team der japanischen Firma Ikotas Labs nutzte dafür vier Zero-Day-Schwachstellen. Eine infizierte E-Mail reichte aus, um das Smartphone anzugreifen.

1 von 4 Lücken war bekannt

Wie SammyGuru unter Berufung auf die Zero Day Initiative (ZDI) über die Schwachstellen berichtet, war Samsung eine der vier genutzten Lücken bereits bekannt, aber trotzdem noch nicht geschlossen. Für den erfolgreichen Angriff erhielt Ikotas Labs ein Preisgeld von 11.000 US-Dollar.

Keine Details zum Ablauf des Angriffs

Der Geschäftsführer von Ikotas Labs, Stoki Tsuji, erklärte, der Angriff habe die Übermittlung einer infizierten E-Mail mit einer separaten Methode zur Ausweitung von lokalen Berechtigungen kombiniert. So ließ sich aus der Ferne Code auf dem Galaxy S26 ausführen. Ob die E-Mail vom Nutzer aktiv geöffnet oder gar mit ihrem Inhalt interagiert werden musste, wurde bislang allerdings nicht verraten. Die Forscher wollen die technischen Details der Ausnutzung auch nicht offenlegen, bevor sie von Samsung geschlossen wurden, damit sie nicht von echten Angreifern genutzt werden können. Welche konkreten Schritte für den Angriff nötig waren, geht aus den Angaben deshalb nicht hervor.

Auch Google Pixel 10 kompromittiert

Das Samsung Galaxy S26 ist jedoch nicht das einzige erfolgreich angegriffene Smartphone. Ikotas Labs gelang – wie auch anderen Hackern – auf der Pwn2Own Ireland 2026 auch der Angriff auf ein Google Pixel 10. Details zum Angriffsweg liegen nicht vor. Dafür erhielt das Team zusätzlich sogar 300.000 US-Dollar Preisgeld.

Samsung und Google dürften in Kürze Sicherheitsupdates bereitstellen, um die Lücken zu beheben.