Samsungs Galaxy S26 wurde innerhalb von nur drei Tagen erfolgreich siebenmal gehackt. Die Forscher nutzten dabei eine Kombination aus neu entdeckten Schwachstellen und Fehlern, die dem Hersteller bereits bekannt waren.
Die Demonstrationen fanden während Pwn2Own Ireland 2026 statt, das am 8. Oktober endete. Laut den offiziellen Wettbewerbsergebnissen der Zero Day Initiative kompromittierten Forscher unter kontrollierten Bedingungen erfolgreich Smartphones und andere vernetzte Geräte.
BleepingComputer berichtete, dass die Teilnehmer 1.262.000 US-Dollar verdienten, nachdem sie während der dreitägigen Veranstaltung 98 Zero-Day-Schwachstellen ausgenutzt hatten.
Für Galaxy-Besitzer betrifft eine wichtige Erkenntnis eine Schwachstelle, von der Samsung bereits wusste, die das Unternehmen aber noch nicht behoben hatte. Die Ergebnisse werfen Fragen dazu auf, wie schnell Sicherheitslücken geschlossen werden und ob Samsungs jüngste Updates vor den demonstrierten Schwachstellen schützen.
Sieben Hacks des Galaxy S26 offenbaren bekannte und neu entdeckte Schwachstellen
Das Galaxy S26 wurde während Pwn2Own Ireland siebenmal erfolgreich kompromittiert. Die endgültige Zahl erzählt jedoch eine kompliziertere Geschichte, als die bloße Anzahl vermuten lässt.
Bei mehreren Demonstrationen handelte es sich um Bug-Kollisionen. Sie treten auf, wenn die Entdeckung einer Schwachstelle durch einen Forscher mit einer Schwachstelle überschneidet, die zuvor dem Wettbewerbsveranstalter gemeldet oder während des Validierungsprozesses identifiziert wurde. Eine Kollision belegt nicht automatisch, wann Samsung von der Schwachstelle erfahren hat oder ob sie behoben wurde. Sie stellt auch nicht zwangsläufig eine völlig neue Sicherheitslücke dar.
Unabhängig davon bestätigten die Ergebnisse der Zero Day Initiative vom ersten Tag, dass Forscher von Ikotas Labs das Galaxy S26 mithilfe von vier Schwachstellen erfolgreich ausnutzten, darunter eine, von der Samsung bereits wusste, die das Unternehmen aber ungepatcht ließ.
Auch der Forscher Nguyen Thanh Dat von Viettel Cyber Security kompromittierte das Galaxy S26 erfolgreich mithilfe von vier Schwachstellen, von denen drei dem Anbieter bereits bekannt waren. Diese Erkenntnisse zeigen, dass einige erfolgreiche Angriffsketten Schwachstellen einbezogen, von denen Samsung bereits wusste. Die Wettbewerbsergebnisse belegen jedoch nicht, dass jede zuvor bekannte Schwachstelle zum Zeitpunkt der Demonstrationen ungepatcht war.
Andere Forscher demonstrierten erfolgreiche Angriffe, die einzigartige Schwachstellen und Kollisionen kombinierten.
Am zweiten Tag des Wettbewerbs kompromittierten Forscher vom KAIST Hacking Lab das Galaxy S26 mithilfe einer einzigartigen Schwachstelle und zweier Kollisionen. Auch PetoWorks demonstrierte einen erfolgreichen Angriff aus der Ferne, bei dem drei Kollisionen zum Einsatz kamen.
Die Erkenntnisse zeigen, warum sieben erfolgreiche Hacks nicht als sieben völlig eigenständige, zuvor unbekannte Sicherheitslücken interpretiert werden sollten.
Sie unterstreichen außerdem, wie wichtig es ist, neu entdeckte Fehler von Schwachstellen zu unterscheiden, die Forschern oder Herstellern bereits bekannt sind. Die 98 gemeldeten Zero-Day-Schwachstellen des gesamten Wettbewerbs betrafen mehrere Produkte und Plattformen, nicht nur Samsung-Smartphones.
eSecurityPlanet hatte zuvor über die Hacking-Demonstrationen am Galaxy S26 berichtet, einschließlich der beteiligten Forscher und ihrer Methoden.
Die Endergebnisse werfen eine andere Frage auf: Was geschieht, wenn Sicherheitsforscher Schwachstellen erfolgreich ausnutzen können, von deren Existenz die Hersteller bereits wissen?
Was die Ergebnisse für Besitzer eines Samsung Galaxy bedeuten
Die erfolgreichen Demonstrationen belegen nicht, dass Cyberkriminelle dieselben Schwachstellen aktiv gegen Samsung-Kunden ausnutzen.
Pwn2Own-Forscher arbeiten unter kontrollierten Bedingungen und halten sich an Wettbewerbsregeln, nach denen sie funktionierende Exploits gegen geeignete Produkte demonstrieren müssen.
Die Erkenntnisse legen dennoch Sicherheitslücken offen, die Hersteller untersuchen und beheben müssen.
Laut dem abschließenden Wettbewerbsbericht von BleepingComputer haben Anbieter 90 Tage Zeit, über Pwn2Own offengelegte Schwachstellen zu beheben, bevor die Zero Day Initiative technische Details öffentlich machen darf.
Dieses Offenlegungsfenster soll Herstellern Zeit geben, gemeldete Fehler zu untersuchen, Lösungen zu entwickeln und Updates zu verteilen. Es garantiert nicht, dass jede Schwachstelle innerhalb von 90 Tagen gepatcht wird.
Samsung hat laut der Berichterstattung von Android Central inzwischen auch mit der Verteilung des Sicherheitsupdates für Oktober 2026 für die Galaxy-S26-Serie begonnen.
Es gibt jedoch keinen bestätigten Zusammenhang, der belegt, dass das Oktober-Update alle während Pwn2Own Ireland demonstrierten Schwachstellen behebt.
Samsung betreibt eine offizielle Seite zu Mobile-Sicherheitsupdates, auf der Sicherheitskorrekturen und betroffene Geräte dokumentiert werden. Patches, die speziell auf die Ergebnisse des Wettbewerbs eingehen, müssten durch nachfolgende Hinweise oder koordinierte Offenlegungen bestätigt werden.
Für Galaxy-Besitzer bedeutet das, dass die Installation des neuesten verfügbaren Sicherheitsupdates weiterhin wichtig ist. Sie sollte jedoch nicht als Beleg dafür interpretiert werden, dass jede demonstrierte Schwachstelle behoben wurde.
Galaxy-Besitzer und IT-Administratoren sollten drei Vorsichtsmaßnahmen treffen:
- Verfügbare Sicherheitsupdates installieren. Öffnen Sie die Einstellungen, wählen Sie Softwareupdate und suchen Sie nach den neuesten verfügbaren Patches.
- Installierte Patch-Version überprüfen. Sehen Sie in den Softwareinformationen des Geräts nach, um zu bestätigen, welcher Android-Sicherheitspatch installiert wurde.
- Samsungs Sicherheitshinweise beobachten. Achten Sie auf neu offengelegte Schwachstellen, betroffene Geräte und Bestätigungen zu den mit dem Wettbewerb verbundenen Fehlerbehebungen.
Für Organisationen, die Samsung-Smartphones verwalten, unterstreichen die Ergebnisse außerdem, wie wichtig es ist, Sicherheitsupdates auf unternehmenseigenen Geräten nachzuverfolgen.
IT-Teams sollten genaue Bestandsverzeichnisse der Gerätemodelle, Softwareversionen und Sicherheitspatch-Stufen führen und gleichzeitig bestätigen, dass kritische Updates die verwalteten Smartphones erreicht haben.
Die Erkenntnisse spiegeln auch allgemeinere Herausforderungen bei der mobilen Sicherheit wider. eSecurityPlanet hatte zuvor über OnePlus-Schwachstellen berichtet, die Angreifern Root-Zugriff verschaffen könnten und Samsungs Galaxy-Sicherheitsupdate für Oktober berichtet.
Die wichtigste Erkenntnis aus Pwn2Own Ireland ist, dass erfolgreiche Angriffe sowohl neu entdeckte Schwachstellen als auch Sicherheitslücken einbeziehen können, von denen die Hersteller bereits wissen.
Für Galaxy-Besitzer sind die sieben erfolgreichen Demonstrationen kein Beleg dafür, dass ihre Geräte kompromittiert wurden. Sie erinnern vielmehr daran, dass Sicherheitsupdates, die Offenlegung von Schwachstellen und die Verteilung von Patches auch bei Flaggschiff-Smartphones unerlässlich bleiben.
Bis Samsung bestätigt, welche Ergebnisse von Pwn2Own behoben wurden, bleiben das Aktualisieren der Geräte und die Beobachtung offizieller Sicherheitshinweise die praktischsten Vorsichtsmaßnahmen.
Erfahren Sie, wie vier Smart-Switch-Schwachstellen sensible Nutzerdaten gefährdeten und was Galaxy-Besitzer tun sollten, um ihre Geräte zu schützen.