WhatsApp Jadi Target Utama untuk Eksploitasi Zero-Click di Pwn2Own Irlandia 2025

Zero Day Initiative (ZDI) menawarkan hadiah sebesar $1 juta bagi peneliti keamanan yang berhasil mendemonstrasikan eksploitasi zero-click (tanpa interaksi pengguna) pada aplikasi WhatsApp dalam ajang Pwn2Own Irlandia 2025 mendatang.

Hadiah rekor ini diberikan untuk eksploitasi keamanan serius yang memungkinkan eksekusi kode tanpa campur tangan pengguna, menargetkan aplikasi pesan instan milik Meta yang digunakan lebih dari 3 miliar orang di seluruh dunia.

Ajang ini akan berlangsung dari 21 hingga 24 Oktober 2025 di Cork, Irlandia, dengan dukungan sponsor dari Meta, bersama Synology dan QNAP.

“Seperti yang sudah Anda duga dari judulnya, kami sangat gembira untuk mengumumkan bahwa Meta ikut mensponsori acara tahun ini, dan mereka berharap untuk melihat beberapa eksploitasi WhatsApp yang hebat. Mereka sangat bersemangat untuk itu, kami menyiapkan $1.000.000 untuk bug WhatsApp 0-klik yang mengarah pada eksekusi kode,” kata Zero Day Initiative mengumumkan pada hari Kamis.

"Kami juga akan memberikan hadiah uang tunai yang lebih kecil untuk eksploitasi WhatsApp lainnya, jadi pastikan untuk memeriksa bagian Pesan untuk detail selengkapnya. Kami memperkenalkan kategori ini tahun lalu, tetapi belum ada yang mencobanya. Mungkin angka dengan dua koma akan memberikan motivasi yang dibutuhkan," lanjut mereka.

Kontes ini menampilkan delapan kategori yang menargetkan ponsel, aplikasi perpesanan, peralatan jaringan rumah, perangkat smart home, printer, sistem penyimpanan jaringan, peralatan pengawasan, dan teknologi wearable, termasuk Kacamata Pintar Ray-Ban Meta dan headset Quest 3/3S, serta smartphone andalan Samsung Galaxy S25, Google Pixel 9, dan Apple iPhone 16.

ZDI juga memperluas vektor serangan untuk kategori mobile dengan menambahkan eksploitasi port USB untuk perangkat seluler, yang mengharuskan kontestan untuk mengkompromikan ponsel yang terkunci melalui koneksi fisik. Sementara itu, protokol wireless tradisional seperti Wi-Fi, Bluetooth, dan NFC tetap menjadi metode serangan yang valid.

Peserta dapat mendaftar hingga 16 Oktober pukul 17.00 waktu Irlandia, dan urutan presentasi akan ditentukan lewat undian acak. Seperti biasa, setiap kerentanan yang berhasil dieksploitasi akan dikomunikasikan ke vendor terkait, yang diberi waktu 90 hari untuk merilis patch sebelum Zero Day Initiative dari Trend Micro mengungkapkannya secara publik.

Pada ajang tahun lalu, Pwn2Own Irlandia menggelontorkan total hadiah lebih dari $1 juta untuk lebih dari 70 eksploitasi zero-day unik. Tim Viettel Cyber Security menjadi salah satu yang paling sukses dengan total hadiah $205.000, berkat demonstrasi kerentanan pada perangkat QNAP NAS, speaker Sonos, dan printer Lexmark.