Windows 11 и Exchange взломаны на Pwn2Own 2026
Во второй день соревнований Pwn2Own Berlin 2026 исследователи кибербезопасности заработали 385 750 долларов, успешно использовав 15 уникальных уязвимостей нулевого дня в Windows 11, Microsoft Exchange и Red Hat Enterprise Linux.
Обзор события
Pwn2Own, одно из самых престижных событий в мире кибербезопасности, в 2026 году в Берлине вновь стало ареной для захватывающих моментов. Во второй день мероприятия этичные хакеры (исследователи безопасности) со всего мира вступили в ожесточенную борьбу за обнаружение неизвестных уязвимостей в наиболее широко используемом программном обеспечении. 15 мая 2026 года было успешно продемонстрировано использование 15 новых и ранее неизвестных уязвимостей (нулевого дня) в критически важных системах, включая флагманскую операционную систему Microsoft Windows 11, корпоративный почтовый сервер Microsoft Exchange и Red Hat Enterprise Linux. Исследователи, обнаружившие эти критические уязвимости, были удостоены рекордной общей награды в размере 385 750 долларов от программы Zero Day Initiative (ZDI) компании Trend Micro.
Что такое Pwn2Own и почему это важно?
Pwn2Own — это соревнование по взлому, которое поощряет исследователей кибербезопасности находить и демонстрировать ранее неизвестные уязвимости в популярном программном и аппаратном обеспечении. Впервые проведенное в 2007 году, название мероприятия происходит от слов "own" (получить контроль) и "pwn" (вариант слова "own" на геймерском сленге). Основная цель соревнования — обеспечить, чтобы этичные хакеры находили эти уязвимости раньше, чем злоумышленники, и предоставляли информацию производителям для их устранения. Этот процесс называется "ответственным раскрытием" (responsible disclosure). ZDI выплачивает исследователям десятки тысяч долларов за каждую уязвимость, а затем конфиденциально передает детали соответствующей компании-разработчику (например, Microsoft, Red Hat). У компаний обычно есть от 90 до 120 дней на устранение этих уязвимостей. Таким образом, потенциальные угрозы, которые могут затронуть миллионы пользователей, устраняются проактивно.
Технический аспект атаки и уязвимость «нулевого дня»
Ключевым понятием, которое выделяется на этом мероприятии, является уязвимость «нулевого дня» (zero-day). Уязвимость нулевого дня — это дефект безопасности, о котором еще не известно ни разработчику программного обеспечения, ни широкой общественности. Это означает, что если злоумышленник разработает «эксплойт» (код, использующий уязвимость), у компании-разработчика будет «ноль дней» на выпуск исправления или обновления для предотвращения атаки. Все 15 уязвимостей, продемонстрированных на Pwn2Own, относились к этой категории, что означает, что даже такие технологические гиганты, как Microsoft и Red Hat, не знали об этих пробелах в безопасности.
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →Некоторые из примечательных эксплойтов, продемонстрированных на соревновании, включали:
- Windows 11: Исследователи обнаружили критическую уязвимость в ядре Windows 11, которая позволила им получить наивысший уровень привилегий (SYSTEM) в системе. Такая уязвимость позволяет злоумышленнику получить полный контроль над компьютером, запускать любые программы, удалять файлы или создавать новые учетные записи.
- Microsoft Exchange: Одним из самых тревожных открытий стала цепочка уязвимостей в сервере Microsoft Exchange, позволяющая удаленно выполнять код (Remote Code Execution - RCE). Это означает, что злоумышленник может через Интернет, без какого-либо взаимодействия с пользователем или учетных данных, проникнуть на сервер Exchange, чтобы прочитать или изменить все электронные письма или полностью захватить сервер.
- Red Hat Enterprise Linux (RHEL): В этой широко используемой корпоративной операционной системе также была найдена уязвимость повышения привилегий (privilege escalation). Это позволяет злоумышленнику, получившему доступ к системе с низкими привилегиями, использовать эту уязвимость для повышения своих прав до самого высокого уровня (root).
Кто находится в группе риска?
Обнаруженные уязвимости потенциально затрагивают очень широкую базу пользователей. Основные затронутые группы включают:
- Индивидуальные пользователи Windows 11: Миллионы персональных компьютеров и ноутбуков по всему миру подвергаются риску из-за этих критических уязвимостей в их операционной системе.
- Корпоративные предприятия: Компании, использующие серверы Microsoft Exchange, сталкиваются с серьезной угрозой безопасности своей электронной почты, конфиденциальных данных и внутренних сетей.
- Центры обработки данных и серверы: Организации, использующие Red Hat Enterprise Linux, подвергаются риску несанкционированного доступа и утечки данных, особенно в их серверной инфраструктуре.
Быть в курсе подобных инцидентов крайне важно для укрепления кибербезопасности. Регулярное отслеживание источников, публикующих Новости об утечках данных, является основой проактивной стратегии защиты как для индивидуальных пользователей, так и для организаций.
Что вам следует делать?
Поскольку уязвимости, обнаруженные на Pwn2Own, были немедленно сообщены соответствующим компаниям в рамках процесса ответственного раскрытия, сейчас нет необходимости в панике. Однако есть важные шаги, которые должны предпринять как индивидуальные пользователи, так и системные администраторы:
- Следите за обновлениями: Microsoft и Red Hat выпустят исправления безопасности в ближайшие недели или месяцы для устранения этих уязвимостей. Всегда обновляйте свою операционную систему и программное обеспечение. Включение автоматических обновлений — самый безопасный подход.
- Используйте брандмауэр и антивирус: Надежный брандмауэр и обновленное антивирусное программное обеспечение обеспечивают дополнительный уровень защиты от неизвестных угроз.
- Соблюдайте основы цифровой гигиены: Избегайте перехода по ссылкам в подозрительных электронных письмах или загрузки файлов из неизвестных источников. Используйте надежные, уникальные пароли и включайте многофакторную аутентификацию (MFA) везде, где это возможно.
Ответ компаний
В силу характера соревнований, такие компании, как Microsoft и Red Hat, еще не сделали публичных заявлений, поскольку информация об уязвимостях была передана им конфиденциально ZDI. Эти компании будут работать со своими инженерными командами над разработкой исправлений в сроки, установленные ZDI. Как только исправления будут готовы, они будут анонсированы и распространены среди пользователей, как правило, через их ежемесячные бюллетени безопасности (например, обновления Microsoft "Patch Tuesday").