Trong suốt cuộc thi, các nhà nghiên cứu nhắm mục tiêu vào các sản phẩm đã được vá lỗi đầy đủ thuộc nhiều hạng mục như trình duyệt web, ứng dụng doanh nghiệp, leo thang đặc quyền cục bộ, máy chủ, môi trường điện toán đám mây/container, ảo hóa và các danh mục liên quan đến mô hình ngôn ngữ lớn (LLM).

Các nhà nghiên cứu đã thu về 523.000 USD tiền thưởng trong ngày thi đầu tiên nhờ khai thác 24 lỗ hổng bảo mật chưa được vá (zero-day) khác nhau. Sang ngày thứ hai, con số này là 385.750 USD với 15 lỗ hổng được phát hiện. Trong khi ngày thi cuối cùng của Pwn2Own, các nhà nghiên cứu mang về 389.500 USD tiền tưởng từ 8 lỗ hổng zero-day khác.

DEVCORE trở thành đội chiến thắng tại cuộc thi Pwn2Own Berlin năm nay với 50,5 điểm Master of Pwn và 505.000 USD tiền thưởng trong ba ngày thi đấu, nhóm ghi dấu ấn nhờ tấn công thành công các mục tiêu như Microsoft SharePoint, Microsoft Exchange, Microsoft Edge và Windows 11. Xếp sau là STARLabs SG với 242.500 USD (25 điểm) và Out Of Bounds với 95.750 USD (12,75 điểm).

Bảng xếp hạng chung cuộc Pwn2Own Berlin 2026

Giải thưởng cá nhân cao nhất của cuộc thi là 200.000 USD đã thuộc về Cheng-Da Tsai (còn được gọi là Orange Tsai) của Nhóm Nghiên cứu DEVCORE, ông đã phát hiện 3 lỗi liên tiếp để giành quyền thực thi mã từ xa với đặc quyền SYSTEM trên Microsoft Exchange.

Ngày thi đầu tiên, Orange Tsai nhận được 175.000 USD khi ông khai thác lỗ hổng bảo mật Microsoft Edge bằng cách phát hiện 4 lỗi logic, cùng với 3 lần khai thác trên Windows 11. Trong khi đó, nhà nghiên cứu Valentina Palmiotti (chompie) của IBM X-Force Offensive Research đã khai thác thành công lỗ hổng bảo mật Red Hat Linux for Workstations và một lỗ hổng zero-day của NVIDIA Container Toolkit, qua đó thu về 70.000 USD tiền thưởng.

Vào ngày thứ hai, các nhà nghiên cứu đã chứng minh thêm một lỗ hổng leo thang đặc quyền cục bộ trên Windows 11, một lỗ hổng leo thang đặc quyền root trong Red Hat Enterprise Linux for Workstations, cũng như các lỗ hổng zero-day trong nhiều tác nhân lập trình AI.

Vào ngày thứ ba và là ngày cuối cùng của cuộc thi, trọng tâm tấn công chuyển sang Windows 11, Red Hat Enterprise Linux for Workstations và VMware ESXi, trong đó các thí sinh đã sử dụng lỗi hỏng bộ nhớ để khai thác thành công trên nền tảng ảo hóa này.

Kết thúc cuộc thi, các nhà cung cấp sẽ có 90 ngày để phát hành bản vá trước thời điểm Zero Day Initiative (ZDI) của Trend Micro công khai chi tiết kỹ thuật của các lỗ hổng bảo mật.