Pwn2Own Automotive 2026: decenas de vulnerabilidades zero-day expuestas en coches y cargadores EV

 

La competencia de hacking Pwn2Own Automotive 2026, parte de la iniciativa Zero Day Initiative (ZDI) organizada durante la feria Automotive World en Tokio, ha sacado a la luz un número sorprendente de vulnerabilidades zero-day en tecnología automotriz moderna, cubriendo desde sistemas de infoentretenimiento integrados hasta infraestructura de carga de vehículos eléctricos (EV).

En total, los equipos de investigación han demostrado 66 vulnerabilidades únicas sin parches (zero-days) durante los primeros dos días de la competencia, con premios entregados por casi 1 millón de dólares (≈ 955 750 USD) a los participantes que lograron exploits exitosos.

¿Qué es Pwn2Own Automotive?

Pwn2Own Automotive es una competencia de hacking ético donde investigadores de seguridad intentan comprometer dispositivos o sistemas reales usados en vehículos y entornos automotrices, incluyendo:

• Sistemas de infoentretenimiento (IVI)

• Controladores de carga para vehículos eléctricos (EV chargers)

• Componentes integrados con Linux o software embebido

• Protocolos de comunicación usados en vehículos conectados

El objetivo no es dañar, sino descubrir fallas antes de que atacantes las exploten maliciosamente, dando a los fabricantes la oportunidad de corregir estos fallos mediante procesos de responsible disclosure.

 Hallazgos destacados de Pwn2Own Automotive 2026

Durante la competencia, se demostraron vulnerabilidades en una amplia gama de sistemas:

🔓 Día 1 – 37 vulnerabilidades descubiertas

En la apertura del evento, los investigadores lograron explotar 37 vulnerabilidades sin parches en dispositivos automotrices completamente actualizados. Incluyeron:

• Tesla Infotainment System: comprometido mediante una cadena de errores combinados para obtener acceso de nivel raíz.

• Sistemas de carga EV de múltiples marcas: como Phoenix Contact CHARX SEC-3150 y Grizzl-E Smart 40A, donde investigadores consiguieron manipular señales y escalar privilegios.

• Sistemas de infoentretenimiento de Sony y Alpine: afectados por errores de desbordamiento de memoria y fallas de control de acceso.

Estos exploits ganaron a los equipos más de 516 500 USD en premios solo en el primer día.

🔓 Día 2 – 29 vulnerabilidades adicionales

El segundo día se añadieron otros 29 bugs de día cero, con recompensas de aproximadamente 439 250 USD. Entre ellos:

• Fallos de inyección de comandos y control de memoria en elementos como controladores de carga y estaciones domésticas.

• Vulnerabilidades en plataformas populares como el Alpine iLX-F511 o el Kenwood DNR1007XR.

 ¿Qué tipos de fallas se encontraron?

Los investigadores expusieron diversos tipos de vulnerabilidades que ilustran la complejidad y el riesgo del software automotriz moderno:

• Desbordamientos de buffer (buffer overflow)

• Inyección de comandos (command injection)

• Autenticación insuficiente o bypasses

• Errores lógicos y condiciones inseguras en protocolos de carga y comunicación

Cada una de estas fallas puede permitir, en manos equivocadas, manipular funcionalidades clave, obtener control sobre dispositivos o forzar comportamientos no deseados que comprometan la seguridad o los datos del vehículo.

Por qué esto debe preocupar a la industria automotriz

La explosión de vulnerabilidades en sistemas que forman parte de la tecnología connected car demuestra que, aunque los vehículos modernos son más inteligentes y conectados, también son objetivos amplios para ataques cibernéticos si no se protegen adecuadamente.

Estas fallas no solo representan riesgo para:

• la privacidad de los usuarios,

• la integridad de los datos,

• o la disponibilidad de sistemas críticos,

sino que también ponen en evidencia que incluso productos completamente actualizados y supuestamente seguros pueden contener fallos graves que quedan expuestos mediante pruebas de seguridad expertas.

El enfoque de Pwn2Own — encontrar fallas antes de que los delincuentes lo hagan— es un componente clave para que fabricantes y proveedores de software automotriz mejoren sus productos.

¿Qué pasa después de Pwn2Own?

Las vulnerabilidades descubiertas durante Pwn2Own Automotive se reportan a los fabricantes a través de Zero Day Initiative (ZDI). Posteriormente:

1. Los proveedores tienen un período (por ejemplo, 90 días) para desarrollar y distribuir parches o mitigaciones.

2. Luego de ese plazo, las vulnerabilidades pueden ser divulgadas públicamente de forma responsable.

3. La industria suele usar estos hallazgos para fortalecer sus ecosistemas de seguridad en vehículos conectados.

Esto signfica que los hallazgos no quedan solo como un “truco de hacking”, sino que ayudan a endurecer los sistemas que manejamos todos los días.

El evento Pwn2Own Automotive 2026 ha puesto en evidencia la enorme cantidad de vulnerabilidades zero-day todavía presentes en tecnología automotriz y de vehículos eléctricos, resaltando que:

• La seguridad automotriz es un reto continuo a medida que los coches se digitalizan.

• Las fallas no solo existen en software tradicional, sino también en sistemas de infoentretenimiento y estaciones de carga conectadas.

• La cooperación entre investigadores y fabricantes es crucial para proteger a los usuarios finales frente a amenazas emergentes.

Estar al tanto de estos descubrimientos y responder con parches y mejores prácticas de seguridad es vital para que la conectividad no se convierta en una brecha de riesgo en tu auto o flota de vehículos.