Pwn2Own Automotive 2026: 76 פרצות יום אפס ברכב ובמטענים, פרס של מיליון דולר
בטוקיו, ב-21 עד 23 בינואר 2026, חוקרים פרצו למערכת המולטימדיה של Tesla ולמטענים של Alpitronic, Autel ו-ChargePoint. סך הפרסים: 1,047,000 דולר.
TL;DR בקצרה
- בתחרות Pwn2Own Automotive 2026 בטוקיו, ב-21 עד 23 בינואר, הוצגו 76 פרצות יום אפס, ופרסי המזומן הגיעו ל-1,047,000 דולר.
- חוקרי Synacktiv פרצו למערכת המולטימדיה של Tesla דרך USB ושרשרת של שתי חולשות, וקיבלו 35,000 דולר.
- הפרס הבודד הגבוה, 60,000 דולר, ניתן לצוות Fuzzware.io על פרצה במטען Alpitronic HYC50. הצוות זכה גם בתואר Master of Pwn.
- הפרצות נמסרות ליצרנים לפי כללי התחרות. אין בסיכומי ZDI מידע על ניצול בפועל או על מועדי תיקון.
ב-Pwn2Own Automotive 2026 בטוקיו חשפו חוקרים 76 פרצות יום אפס במערכות רכב ובמטענים לרכב חשמלי. פרצת יום אפס היא פרצה שהיצרן עדיין לא מכיר, ולכן אין לה תיקון. את התחרות מארגנת Zero Day Initiative (ZDI) של Trend Micro. היא התקיימה ב-21 עד 23 בינואר 2026, ופרסי המזומן הגיעו ל-1,047,000 דולר.
מה פרצו ב-Pwn2Own Automotive 2026
לפי ZDI, התחרות כללה קטגוריות של מערכות מולטימדיה, מטענים מהירים ואיטיים, ומערכות הפעלה. לפי The Register, נרשמו 73 הגשות, שיא של התחרות. בשנה שעברה סך הפרסים היה 886 אלף דולר, לפי SecurityWeek.
ביום הראשון חילקה ZDI 516,500 דולר על 37 פרצות. חוקרי Synacktiv פרצו למערכת המולטימדיה של Tesla דרך USB. הם שרשרו דליפת מידע עם כתיבה מחוץ לגבולות הזיכרון, וקיבלו 35,000 דולר.
צוות Fuzzware.io קיבל 60,000 דולר על פרצה במטען Alpitronic HYC50, הפרס הבודד הגבוה בתחרות. לפי SecurityWeek, החוקרים תקפו דרך אקדח הטעינה. לפי אותו דיווח, ZDI כינתה זאת הניצול הציבורי הראשון של supercharger.
גם מטענים של Autel ושל Phoenix Contact הניבו 50,000 דולר כל אחד. מטענים של ChargePoint, של Grizzl-E ושל Alpitronic הניבו 40,000 דולר כל אחד. חוקרים שרשרו שלוש חולשות כדי לפרוץ למערכת Automotive Grade Linux, וזה הניב 40,000 דולר.
ביום השלישי קיבלו חוקרי Juurin Oy 20,000 דולר על חולשת TOCTOU במטען Alpitronic. הם גם התקינו עליו גרסה של המשחק Doom. חוקר בשם ריו קאטו (Ryo Kato) קיבל 16,750 דולר על שרשרת של שלוש חולשות במטען Autel.
TOCTOU היא חולשה שבה המערכת בודקת מצב ואחר כך משתמשת בו, אבל בין הבדיקה לשימוש התוקף משנה אותו. בנוסף קיבלו חוקרי Viettel 10,000 דולר על גלישת זיכרון ב-Sony XAV-9500ES, שאפשרה הרצת קוד. הגשות נגד Alpine iLX-F511 ו-Kenwood DNR1007XR זכו לפרסים של 2,500 עד 5,000 דולר. ZDI מסמנת חלק מההצלחות כ-collision, למשל כשפרצה אחת כבר שימשה צוות אחר, ולכן הפרס קטן.
התואר Master of Pwn הלך לצוות Fuzzware.io, עם 28 נקודות ו-215,500 דולר. לפי The Register, הצוות הצליח בשבע הדגמות.
למה פרצות במטענים ובמערכות רכב חשובות
מטען חכם הוא מחשב קטן שמחובר לחשמל, לרשת ובדרך כלל גם לאפליקציה. מערכת מולטימדיה בנויה בדומה, והיא מתחברת לטלפונים ולכוננים חיצוניים. לכן פרצה במכשיר כזה היא פרצה במחשב, ולא רק בחלק של הרכב.
לפי הכללים, ZDI מוסרת ליצרנים המושפעים את הפרצות ואת טכניקות הניצול שהמנצחים חושפים. בסיכומי התחרות שקראנו אין מידע על מועדי תיקון, ואין דיווח על ניצול של הפרצות מחוץ לתחרות. לכן לא ברור כרגע אילו דגמים כבר קיבלו תיקון.
מה זה אומר עבורכם
- בדקו את דגם המטען: השוו אותו ליצרנים שהוזכרו, Alpitronic, Autel, Phoenix Contact, ChargePoint ו-Grizzl-E. כך תדעו אם הוא היה בין היעדים.
- עקבו אחרי עדכוני קושחה: בדקו באתר היצרן או באפליקציה שלו אם יש גרסה חדשה, והפעילו עדכון אוטומטי אם הוא קיים.
- אל תחברו כונן USB לא מוכר לרכב: הפריצה ל-Tesla התבצעה דרך USB. השתמשו רק בכונן שאתם סומכים עליו.
- בעסק עם עמדות טעינה: שאלו את הספק מה מדיניות העדכונים שלו. שקלו להפריד את המטענים מהרשת של המשרד.
- אל תיבהלו: אלה פרצות שהוצגו בתנאי תחרות. עם זאת, כדאי להתייחס אליהן כאל סיבה לבדוק עדכונים.
מקורות והרחבה
- Pwn2Own Automotive 2026 - Day Three Results and the Master of PwnZero Day Initiative
- Pwn2Own Automotive 2026 - Day One ResultsZero Day Initiative
- Pwn2Own Automotive 2026 RulesZero Day Initiative
- Infotainment, EV Charger Exploits Earn Hackers $1M at Pwn2Own Automotive 2026SecurityWeek
- Automotive systems get pwned at Pwn2Own Automotive 2026The Register
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
