Pwn2Own Berlin 2025 : 28 failles zero-day découvertes dans Windows 11, VMware ESXi, etc.
Windows 11, VMware ESXi, Red Hat, Mozilla Firefox et même l’IA piratés lors de la compétition de hacking Pwn2Own Berlin 2025 ! Plus de 1 million de dollars de récompenses ont été distribués pendant ces 3 jours de compétition.
De nouvelles failles dévoilées sur des plateformes majeures
Pwn2Own Berlin 2025, organisé par la Zero Day Initiative (ZDI) de Trend Micro, a réuni des hackers éthiques du monde entier pour trois jours de compétition de de démonstrations. À cette occasion, les chercheurs ont mis en lumière pas moins de 28 failles zero-day sur des systèmes populaires et omniprésents en entreprise, tels que Windows 11, VMware ESXi, Red Hat Enterprise Linux, Microsoft SharePoint, et Mozilla Firefox.
Parmi les faits marquants de cette édition : Nguyen Hoang Thach de STARLabs SG a remporté 150 000 $ grâce à l'exploitation d'une vulnérabilité dans VMware ESXi, tandis que son compatriote Chen Le Qi a obtenu 30 000 $ pour une élévation de privilèges SYSTEM sur Windows 11.
Le système de Microsoft a été mis à mal à plusieurs reprises tout au long de ces 3 jours de compétition. De son côté, le Français Corentin Bayet, représentant Reverse Tactics, a de son côté empoché 112 500 $ après avoir démontré un exploit de type integer overflow au sein de VMware ESXi.
L’IA entre dans la ligne de mire des hackers éthiques
Pour la première fois dans l’histoire du Pwn2Own, l’intelligence artificielle a été reconnue comme une surface d’attaque légitime et elle correspond à une catégorie. Deux exploits ont été mis en lumière par les hackers, notamment un basé sur Chroma AI, qui a permis à Sina Kheirkhah de Summoning Team d'empocher 20 000 $.
Enfin, le titre de Master of Pwn 2025 a été décerné à l'équipe STARLabs SG, qui a remporté cette compétition avec 320 000 $ de gains et 35 points cumulés (chaque exploit permet de gagner des points).
Vous pouvez retrouver tous les résultats sur ces pages :
Dans les prochains semaines, les éditeurs publieront des correctifs de sécurité pour patcher ces nouvelles failles zero-day.
