Pwn2Own爱尔兰站回归：百万美元悬赏WhatsApp零点击漏洞

Pwn2Own重返爱尔兰科克设立百万美元WhatsApp目标

2025年7月31日 | Dustin Childs

若需直接查看规则，请点击此处。去年我们将消费者导向的Pwn2Own赛事移至爱尔兰科克办公室，活动取得了空前成功。尽管爱尔兰天空阴霾，全球研究人员仍精彩演示了顶级漏洞利用技术——我们还意外发现欧洲的电力系统运作方式略有不同。鉴于此，我们激动地宣布今秋将重返科克举办新一届Pwn2Own大赛。晚间我们还将再度探访爱尔兰的特色酒馆，并在历史悠久的科克城监狱结束活动。

如标题所示，我们荣幸宣布Meta成为本届赛事联合赞助商，并期待看到精彩的WhatsApp漏洞利用。为此我们设立了100万美元奖金，奖励能通过零点击漏洞实现代码执行的WhatsApp漏洞。其他WhatsApp漏洞利用也将获得相应奖金，详情请参阅"消息应用"类别规则。去年我们首次引入该类别但无人尝试，或许七位数奖金能提供足够动力。同时欢迎群晖和威联通再度作为联合赞助商回归，去年他们在设备配置方面提供了极大帮助。

比赛将于2025年10月21-24日举行。SOHO综合攻击类别继续保留，但今年增加了更具挑战性的调整。移动设备类别新增USB攻击向量，期待看到威胁行为者物理接触设备时的攻击演示。去年我们为70多个零日漏洞支付了1,066,625美元奖金，期待2025年能突破这个数字——尤其是百万美元奖金的加持。

比赛首日将通过随机抽签确定攻击顺序，注册截止时间为2025年10月16日爱尔兰标准时间下午5点。逾期不候，咨询请致信pwn2own@trendmicro.com。

八大目标类别详情

移动设备
作为赛事核心类别，目标手机将运行最新版操作系统并安装所有更新。今年新增USB端口攻击向量，攻击必须针对暴露给终端用户的USB接口。设备初始处于锁定状态，禁止使用虚假面具或指纹攻击。参赛者可通过默认浏览器访问内容，或通过NFC、Wi-Fi、蓝牙和基带协议进行攻击。

消息应用类别
WhatsApp全球用户超30亿，传输信息敏感度高。去年30万美元零点击漏洞奖金未能吸引参赛者，今年与Meta合作大幅提升奖金额度，同时新增非代码执行漏洞奖项。不同手机和操作系统均可作为目标。

SOHO综合攻击
远程办公普及使企业网络边界延伸至家庭办公室。攻击者可通过家用路由器和消费级设备横向渗透至企业资源。今年目标设备列表更精简（且更复杂），30分钟内攻破两台设备可获得10万美元和10点"破解大师"积分。

智能家居设备
本届新设类别，整合了以往多个类别。攻击必须通过目标暴露的网络服务、RF攻击面或参赛者笔记本在比赛网络内发起。

打印机设备
打印机常被调侃，却是办公室最易忽视的攻击面。该类别常产生有趣成果，例如播放异常音乐或恶搞视频。兄弟打印机今年新增为目标设备。

网络附加存储设备
群晖和威联通设备再度成为目标。攻击需针对暴露的网络服务或RF攻击面。群晖DiskStation目标将启用多个在测套件：MailPlus服务器、Drive服务器、虚拟机管理器、快照复制、监控站、照片、办公套件和AI控制台。

监控系统设备
不再局限于无线摄像头，需针对完整集成且配置就绪的监控系统设备。物理接触攻击不在范围内。

可穿戴设备
新增Meta雷朋智能眼镜和Meta Quest 3/3S作为目标。设两级奖项：零交互攻击获得高额奖金，单交互攻击也可获奖。支持远程、近场和有限物理接触多种攻击方式。

破解大师评选

比赛将评选"破解大师"作为总冠军，获奖者将获得奖杯、特殊可穿戴设备及65,000点ZDI奖励积分（2026年直接获得铂金 status）。成功尝试均可累积积分，尽管只有首例演示获得全额奖金，所有成功条目均可获得完整积分。随机抽签决定攻击顺序，后位选手仍可能夺冠。注册后退出将受处罚。

完整规则与注册

2025年Pwn2Own爱尔兰完整规则可能随时变更而不另行通知。建议参赛者仔细阅读规则及参赛指南博客。注册需联系pwn2own@trendmicro.com（仅限邮件），类别超额时将随机抽签决定顺序。注册截止时间为2025年10月16日爱尔兰标准时间下午5点。

赛事直播

我们将通过博客和推特实时发布赛果，请关注@thezdi和@trendmicro账号及#P2OIreland话题标签。期待在科克相见，共同见证新型漏洞利用技术的诞生。

特别感谢赛事合作伙伴Meta，以及联合赞助商群晖和威联通的技术支持。