Le fil de l’actualité

Écrit par l’IASécurité

Comment fonctionne Pwn2Own : concours zero-day, divulgation et délais de correctif

Pwn2Own paie des pirates pour des exploits en direct. Voici comment fonctionnent ses règles, ses points Master of Pwn, les paiements en collision et les délais de divulgation.

Ordinateur portable relié à un téléphone lumineux sur une scène de concours sombre, avec un compte à rebours ambré

Rédigé par une IA. Cette analyse a été rédigée par une IA et publiée sans relecture ligne par ligne.

Dans l’actualité

Pwn2Own est un concours de piratage en direct où un exploit fonctionnel contre un téléphone, un routeur ou une voiture vaut de l’argent bien réel, et où la faille est censée être corrigée avant que la plupart des gens en entendent parler. La plupart des textes s’arrêtent au tableau des pointages. Les questions les plus utiles sont plutôt mécaniques : comment une cible est choisie, ce qui compte comme une victoire, comment les points et les paiements sont fixés, et combien de temps un éditeur a avant que les détails deviennent publics. J’ai lu le règlement complet de Berlin 2026, la politique de divulgation et la FAQ de ZDI, ainsi que les résultats jour par jour de l’édition irlandaise 2026 pour répondre à ces questions. Berlin est le règlement le plus complet que j’ai pu consulter; chaque règle ci-dessous est donc rattachée à l’édition dont elle provient.

Pourquoi maintenant : Pwn2Own Irlande 2026 s’est terminé avec 98 failles zero-day uniques et 1 262 000 $ en prix. Les 45 failles et 232 500 $ du bulletin ne couvrent que le deuxième jour; utilisez les totaux de l’événement.

Table des matières

Ce qui compte comme une victoire

Le règlement de Berlin 2026 définit strictement une entrée réussie. L’exploit doit détourner le chemin d’exécution normal pour exécuter des instructions arbitraires. Il doit contourner DEP, ASLR et le bac à sable lorsqu’ils sont présents, et une évasion complète du bac à sable est exigée, sauf si la catégorie dit le contraire. Le code obtenu doit s’exécuter dans un contexte élevé, c’est-à-dire une intégrité Medium ou plus sous Windows. Si la cible exige une authentification, l’exploit doit fonctionner avant la connexion ou inclure un contournement de l’authentification.

Les règles de livraison façonnent la recherche autant que le seuil d’entrée. Pour les cibles locales, l’attaque peut ne demander aucune interaction de l’utilisateur au-delà du lancement, et aucun redémarrage, déconnexion ou ouverture de session. Pour les cibles distantes, l’exploit doit être entièrement automatisé et lancé par une seule commande, et le concurrent ne peut pas interagir avec lui une fois la tentative commencée, sauf pour démontrer l’exécution de code au commanditaire. Les techniques d’interposition, d’empoisonnement ARP ou de rétrogradation logicielle peuvent amener le commanditaire à payer moins.

Pirate faisant la démonstration d'un exploit sur scène contre un téléphone et un routeur sous les projecteurs

Trois tentatives, trente minutes, un téléphone

Berlin accorde à chaque concurrent jusqu’à trois tentatives, chacune limitée à 10 minutes, et les trois doivent se terminer en 30 minutes, sans compter la mise en place de l’appareil. Après une tentative ratée, le concurrent peut prendre du temps pour dépanner et modifier l’exploit à l’intérieur de ce bloc de 30 minutes, et la cible peut être éteinte ou débranchée pendant ce travail. Le commanditaire peut prolonger le délai en cas de problème réseau hors du contrôle des deux parties.

Les règles de limite de temps de l’édition irlandaise n’ont pas pu être récupérées en entier. Le billet du premier jour confirme toutefois qu’une équipe a « atteint la limite de temps » lors d’une tentative sur une Lexmark, donc une limite existe, mais le billet n’en donne pas la durée.

Une démo sur scène est tendue pour une bonne raison. Mise en place mise à part, toute l’attaque se joue sur une minuterie qui se moque de savoir si l’exploit fonctionne presque.

Qui est payé quand trois équipes s’attaquent au même appareil

La règle de Berlin est simple et un peu brutale. Quand plusieurs concurrents s’inscrivent pour une même cible, leur ordre est tiré au sort, et chacun a son tour. La première entrée réussie remporte le prix de cette cible, et la catégorie se ferme. Pour chaque cible, c’est une loterie où le gagnant rafle tout.

L’édition irlandaise ne semble pas fonctionner ainsi. Le billet du premier jour montre plusieurs réussites contre une même cible, avec des paiements réduits étiquetés par tour, comme « second round win » et « 3rd round success ». Je n’ai pas pu récupérer les règles irlandaises qui décrivent ces tours, donc je ne vais pas les reconstituer.

Les failles déjà connues sont l’autre levier. Selon le règlement de Berlin, une faille doit être inconnue, non publiée et non signalée auparavant à l’éditeur ou au commanditaire. Si le commanditaire démontre qu’elle était déjà connue, il peut payer moins que le prix annoncé. Le commanditaire décide aussi quelle partie d’une chaîne est une vulnérabilité connue et laquelle est une technique d’exploitation, et les failles matérielles par canal auxiliaire connues comptent comme des vulnérabilités connues. Chaque vulnérabilité ne peut servir qu’une seule fois, dans toutes les catégories.

Le billet du premier jour montre ce que cela donne en pratique :

  • Viettel, Samsung Galaxy S26 : quatre failles, dont trois déjà connues de l’éditeur, 31 250 $ et 3,25 points Master of Pwn.
  • Ikotas Labs, Samsung Galaxy S26 : quatre failles, dont une connue et non corrigée, 11 000 $ et 4,5 points.

Lisez ces deux lignes ensemble. L’équipe qui avait le plus de failles connues a été payée presque trois fois plus, et celle qui en avait moins a gagné davantage de points. Les points ne suivaient pas non plus le paiement, ce qui laisse penser que les deux sont notés selon des règles différentes. Le matériel publié n’explique pas l’écart. Pour un concours qui se vend sur la rigueur, c’est beaucoup de latitude laissée au commanditaire pour décider de la valeur d’une faille connue.

Master of Pwn : comment les points sont calculés

Les règles de Berlin attribuent à chaque cible un nombre fixe de points Master of Pwn. Un exploit de rendu Chrome seul rapporte 75 000 $ pour 7,5 points. Une évasion du bac à sable Chrome rapporte 175 000 $ pour 17,5. Un client Hyper-V rapporte 250 000 $ pour 25. Un exploit de rendu Firefox seul rapporte 50 000 $ pour 5. Sur les tableaux de Berlin, cela donne environ un point par tranche de 10 000 $ de prix annoncé. C’est une bonne règle empirique, pas une règle.

Les points s’additionnent. L’exemple du règlement lui-même : une évasion du bac à sable d’Edge (17,5) plus une évasion du bac à sable Chrome (17,5) donne 35 points. Le concurrent au total le plus élevé gagne 65 000 points de récompense ZDI, et les ex aequo se partagent ce prix. Les points ne comptent que pour les entrées démontrées pendant la période du concours. Se retirer d’une entrée inscrite après le début du concours réduit de moitié les points de cette entrée, et retirer un bonus supplémentaire pendant une tentative en supprime les points.

Les points des victoires complètes de l’édition irlandaise suivent le même modèle. La victoire sur la Sonos Era 300 à 50 000 $ a rapporté 5 points, LiteLLM à 40 000 $ en a rapporté 4, et la victoire d’Ikotas Labs sur OpenAI Codex à 40 000 $ en a rapporté 4. Je n’ai pas pu récupérer le tableau de points de l’édition irlandaise.

Pourquoi un seul événement produit 98 failles zero-day

Le total compte des failles zero-day uniques, pas des entrées, et une chaîne compte chaque faille qu’elle contient. Le règlement de Berlin exige que le mémoire d’une chaîne à plusieurs failles liste chaque vulnérabilité utilisée et l’ordre dans lequel elles l’ont été. Les exemples irlandais montrent l’étendue du phénomène. La victoire sur la Sonos Era 300 combinait une écriture hors limites et une faille de chaîne de format, trouvée par McCaulay Hudson, pour 50 000 $ et 5 points. VinSOC a utilisé sept failles zero-day contre le Philips Hue Bridge Pro pour 40 000 $ et 4 points. Cela fait sept failles dans le total, une cible et un seul prix.

Le découpage par jour, selon BleepingComputer et le billet ZDI du deuxième jour :

  • Jour un : 32 failles zero-day uniques, 388 500 $
  • Jour deux : 45 failles zero-day, 232 500 $
  • Jour trois : 21 failles zero-day, 641 000 $
  • Événement : 98 failles zero-day uniques, 1 262 000 $

Les sommes concordent, mais la valeur par faille varie énormément. Selon mon calcul, cela fait environ 12 100 $ par faille le premier jour, environ 5 200 $ le deuxième et environ 30 500 $ le troisième. Un compte de failles dit combien a été trouvé, pas ce que cela valait. Citer la ligne du deuxième jour comme taille de l’événement revient à citer une journée sur trois.

Les billets d’aperçu montrent aussi la montée des enjeux. L’aperçu ZDI du deuxième jour annonçait 24 tentatives avec environ 780 000 $ en jeu, soit environ 32 500 $ par tentative. Celui du troisième jour annonçait 17 tentatives avec environ 1,33 M$ sur la table, soit environ 78 000 $ par tentative. Ikotas Labs a obtenu 361 000 $ au total pour l’événement, dont le plus gros prix unique, 300 000 $, pour une chaîne de plusieurs failles zero-day contre le Google Pixel 10. Cette seule entrée représente près du quart du total.

Les cibles populaires attirent les foules. BleepingComputer et les billets de ZDI placent le Galaxy S26 à terre au moins cinq fois et le Pixel 10 au moins quatre fois. Chaque équipe supplémentaire signifie un autre lot de failles qui se chevauchent et doivent être tranchées, ce qui explique l’importance des règles de collision vues plus haut.

L’horloge de divulgation, et le chiffre qui ne concorde pas

La politique de divulgation de ZDI fixe une fenêtre standard de 120 jours, comptée à partir de la notification à l’éditeur. Les prolongations sont rares et laissées à la discrétion de ZDI. Les correctifs défaillants suivent un calendrier échelonné de 30, 60 et 90 jours. Si un éditeur ne répond pas, ZDI publie un avis limité avec des mesures d’atténuation. La FAQ de ZDI reprend le standard de 120 jours et précise que la fenêtre part de la notification initiale. ZDI affirme aussi qu’elle ne retiendra pas indéfiniment une vulnérabilité, et qu’elle ne revend jamais les failles ni ne les utilise à des fins offensives.

Le bulletin de BleepingComputer sur l’édition 2026 affirme que les éditeurs doivent corriger les failles zero-day de Pwn2Own dans les 90 jours avant que ZDI publie les détails. Je n’ai pas pu récupérer de page officielle des règles de l’édition irlandaise 2026, et le règlement de Berlin que j’ai lu ne contient aucun décompte de jours. Il dit seulement que les vulnérabilités gagnantes « seront divulguées aux éditeurs concernés ». Le délai de 90 jours vient donc de la presse, et ce n’est pas une source primaire de ZDI. Attendez-vous à le voir cité, mais ne le traitez pas comme le contrat.

Si vous placez les deux chiffres sur un calendrier à partir de la date du 8 octobre mentionnée dans le bulletin, 90 jours tombent le 6 janvier 2027 et 120 jours le 5 février 2027. C’est de l’arithmétique, pas une échéance. L’horloge de chaque éditeur démarre à sa propre notification, et ces dates ne sont pas publiques.

Frise montrant un rapport privé, une fenêtre de correctif de l'éditeur et un avis public

Délais de correctif : la partie que personne n’a mesurée

Le bulletin affirme que ces failles sont « généralement corrigées en quelques mois ». Je n’ai rien trouvé qui le soutienne, donc je ne le répéterai pas.

J’ai essayé d’aligner trois à cinq failles passées, les dates de correctif de l’éditeur avec les dates d’avis de ZDI, et je n’ai fait qu’une partie du chemin. J’ai trouvé des dates côté éditeur pour deux failles de Pwn2Own Vancouver 2024, mais seulement dans des extraits de recherche que je n’ai pas pu ouvrir en entier. Plutôt que d’imprimer des chiffres que je ne peux pas défendre, je les ai retirés. Je n’ai pas non plus récupéré de dates d’avis ZDI. L’écart entre le correctif d’un éditeur et l’avis public reste donc non mesuré, et la fenêtre seule ne le comble pas. Une fois que vous avez les deux dates pour une faille, l’écart se calcule par une simple soustraction. Personne que j’ai pu trouver n’a publié assez de paires pour en faire une tendance.

Comment vérifier vous-même un résultat Pwn2Own

  1. Ouvrez le billet du jour. Chaque entrée porte une étiquette de résultat (SUCCESS, SUCCESS/COLLISION ou FAILURE), une cible, le nombre de failles, combien étaient connues, le prix et les points Master of Pwn.
  2. Comptez les failles, pas les entrées. Une entrée à quatre failles ajoute quatre au total, et une collision peut quand même être payée.
  3. Lisez l’étiquette de tour. « Second round » ou « third round » signale que la cible avait déjà été remportée, ou qu’une tentative ultérieure portait un prix plus bas.
  4. Associez chaque faille à son correctif. Cherchez dans le bulletin de sécurité ou les notes de version de l’éditeur, par numéro CVE lorsqu’il existe.
  5. Associez chaque faille à son avis ZDI. ZDI publie après la sortie du correctif ou après la fermeture de la fenêtre. L’écart entre ces deux dates est le chiffre que vous cherchez.
  6. Ne déduisez pas les points du prix. Comme le montrent les deux lignes du Galaxy S26, un paiement plus bas peut rapporter davantage de points.

Qui contrôle la chaîne

ZDI organise le concours, rédige les règles, décide ce qui compte comme connu et ce que cela vaut, et conserve les exploits. Selon le règlement de Berlin, les exploits et les mémoires deviennent la propriété du commanditaire en vertu de l’entente de chercheur de ZDI. ZDI publie ensuite les avis. Ses garanties publiées, pas de revente et pas de rétention indéfinie, sont des engagements réels. Mais elles reposent sur la politique d’une seule organisation, et je n’ai rien trouvé de public qui vérifie comment elles s’appliquent.

La structure est aussi inhabituelle. Un programme de primes aux bogues classique règle les rapports un à un. Pwn2Own compresse tout le processus en trois jours de scène. L’avantage : chaque affirmation est démontrée en direct, devant témoins. L’inconvénient : le registre public est un tableau des pointages, alors que le travail qui compte, l’exploit et sa remise à l’éditeur, se fait hors de vue.

Le saviez-vous

  • Un concurrent de Berlin a jusqu’à trois tentatives, chacune limitée à 10 minutes, et les trois doivent se terminer dans une fenêtre de 30 minutes.
  • Le total Master of Pwn le plus élevé dans le règlement de Berlin rapporte 65 000 points de récompense ZDI, et les ex aequo se partagent ce prix.
  • ZDI indique que le paiement prend environ deux à trois semaines après l’acceptation d’une offre, par virement bancaire ou par chèque posté.
  • L’édition 2025 en Irlande comptait 73 failles zero-day et 1 024 750 $ en prix, selon BleepingComputer. Les totaux de 2026 représentent environ 34 % de failles de plus et 23 % d’argent de plus, selon mon calcul.

Que faire de tout ça

Si vous gérez des téléphones, des routeurs ou des contrôleurs industriels, traitez un résultat Pwn2Own comme une raison de vérifier l’avis de l’éditeur, pas comme une alarme. La fenêtre de divulgation indique quand ZDI peut publier, pas quand votre appareil reçoit un correctif, et c’est l’éditeur qui fixe ce calendrier. Ce que vous contrôlez, c’est de savoir ce que vous faites tourner. Un inventaire exact vous permet d’appliquer un correctif le jour où il sort.

Sources

À lire aussi