Windows 11 и Exchange взломаны на Pwn2Own 2026

Обзор события

Pwn2Own, одно из самых престижных событий в мире кибербезопасности, в 2026 году в Берлине вновь стало ареной для захватывающих моментов. Во второй день мероприятия этичные хакеры (исследователи безопасности) со всего мира вступили в ожесточенную борьбу за обнаружение неизвестных уязвимостей в наиболее широко используемом программном обеспечении. 15 мая 2026 года было успешно продемонстрировано использование 15 новых и ранее неизвестных уязвимостей (нулевого дня) в критически важных системах, включая флагманскую операционную систему Microsoft Windows 11, корпоративный почтовый сервер Microsoft Exchange и Red Hat Enterprise Linux. Исследователи, обнаружившие эти критические уязвимости, были удостоены рекордной общей награды в размере 385 750 долларов от программы Zero Day Initiative (ZDI) компании Trend Micro.

Что такое Pwn2Own и почему это важно?

Pwn2Own — это соревнование по взлому, которое поощряет исследователей кибербезопасности находить и демонстрировать ранее неизвестные уязвимости в популярном программном и аппаратном обеспечении. Впервые проведенное в 2007 году, название мероприятия происходит от слов "own" (получить контроль) и "pwn" (вариант слова "own" на геймерском сленге). Основная цель соревнования — обеспечить, чтобы этичные хакеры находили эти уязвимости раньше, чем злоумышленники, и предоставляли информацию производителям для их устранения. Этот процесс называется "ответственным раскрытием" (responsible disclosure). ZDI выплачивает исследователям десятки тысяч долларов за каждую уязвимость, а затем конфиденциально передает детали соответствующей компании-разработчику (например, Microsoft, Red Hat). У компаний обычно есть от 90 до 120 дней на устранение этих уязвимостей. Таким образом, потенциальные угрозы, которые могут затронуть миллионы пользователей, устраняются проактивно.

Технический аспект атаки и уязвимость «нулевого дня»

Ключевым понятием, которое выделяется на этом мероприятии, является уязвимость «нулевого дня» (zero-day). Уязвимость нулевого дня — это дефект безопасности, о котором еще не известно ни разработчику программного обеспечения, ни широкой общественности. Это означает, что если злоумышленник разработает «эксплойт» (код, использующий уязвимость), у компании-разработчика будет «ноль дней» на выпуск исправления или обновления для предотвращения атаки. Все 15 уязвимостей, продемонстрированных на Pwn2Own, относились к этой категории, что означает, что даже такие технологические гиганты, как Microsoft и Red Hat, не знали об этих пробелах в безопасности.

Некоторые из примечательных эксплойтов, продемонстрированных на соревновании, включали:

• Windows 11: Исследователи обнаружили критическую уязвимость в ядре Windows 11, которая позволила им получить наивысший уровень привилегий (SYSTEM) в системе. Такая уязвимость позволяет злоумышленнику получить полный контроль над компьютером, запускать любые программы, удалять файлы или создавать новые учетные записи.
• Microsoft Exchange: Одним из самых тревожных открытий стала цепочка уязвимостей в сервере Microsoft Exchange, позволяющая удаленно выполнять код (Remote Code Execution - RCE). Это означает, что злоумышленник может через Интернет, без какого-либо взаимодействия с пользователем или учетных данных, проникнуть на сервер Exchange, чтобы прочитать или изменить все электронные письма или полностью захватить сервер.
• Red Hat Enterprise Linux (RHEL): В этой широко используемой корпоративной операционной системе также была найдена уязвимость повышения привилегий (privilege escalation). Это позволяет злоумышленнику, получившему доступ к системе с низкими привилегиями, использовать эту уязвимость для повышения своих прав до самого высокого уровня (root).

Кто находится в группе риска?

Обнаруженные уязвимости потенциально затрагивают очень широкую базу пользователей. Основные затронутые группы включают:

• Индивидуальные пользователи Windows 11: Миллионы персональных компьютеров и ноутбуков по всему миру подвергаются риску из-за этих критических уязвимостей в их операционной системе.
• Корпоративные предприятия: Компании, использующие серверы Microsoft Exchange, сталкиваются с серьезной угрозой безопасности своей электронной почты, конфиденциальных данных и внутренних сетей.
• Центры обработки данных и серверы: Организации, использующие Red Hat Enterprise Linux, подвергаются риску несанкционированного доступа и утечки данных, особенно в их серверной инфраструктуре.

Быть в курсе подобных инцидентов крайне важно для укрепления кибербезопасности. Регулярное отслеживание источников, публикующих Новости об утечках данных, является основой проактивной стратегии защиты как для индивидуальных пользователей, так и для организаций.

Что вам следует делать?

Поскольку уязвимости, обнаруженные на Pwn2Own, были немедленно сообщены соответствующим компаниям в рамках процесса ответственного раскрытия, сейчас нет необходимости в панике. Однако есть важные шаги, которые должны предпринять как индивидуальные пользователи, так и системные администраторы:

1. Следите за обновлениями: Microsoft и Red Hat выпустят исправления безопасности в ближайшие недели или месяцы для устранения этих уязвимостей. Всегда обновляйте свою операционную систему и программное обеспечение. Включение автоматических обновлений — самый безопасный подход.
2. Используйте брандмауэр и антивирус: Надежный брандмауэр и обновленное антивирусное программное обеспечение обеспечивают дополнительный уровень защиты от неизвестных угроз.
3. Соблюдайте основы цифровой гигиены: Избегайте перехода по ссылкам в подозрительных электронных письмах или загрузки файлов из неизвестных источников. Используйте надежные, уникальные пароли и включайте многофакторную аутентификацию (MFA) везде, где это возможно.

Ответ компаний

В силу характера соревнований, такие компании, как Microsoft и Red Hat, еще не сделали публичных заявлений, поскольку информация об уязвимостях была передана им конфиденциально ZDI. Эти компании будут работать со своими инженерными командами над разработкой исправлений в сроки, установленные ZDI. Как только исправления будут готовы, они будут анонсированы и распространены среди пользователей, как правило, через их ежемесячные бюллетени безопасности (например, обновления Microsoft "Patch Tuesday").

Kaynak

https://www.bleepingcomputer.com/news/security/pwn2own-day-two-hackers-demo-microsoft-exchange-windows-11-red-had-enterprise-linux-zero-days/