Sony betaalt $50.000 voor PS5-hypervisorbug gemeld via HackerOne
Sony zou via HackerOne een bounty van $50.000 hebben uitgekeerd voor een privé gemelde PS5-hypervisorbug. De kwetsbaarheid zou firmware 13.60 tot 14.00 raken en leidde to
IGN schrijft dat de exploit met behulp van AI is gevonden en niet publiek is vrijgegeven. De melding zou eerst naar Sony zijn gegaan, waarna de discussie in de PS5-homebrewscene oplaaide over het moment van disclosure.
Volgens de aangehaalde berichtgeving gaat het om een van de hoogste uitbetalingen binnen Sony’s bugbountyprogramma sinds 2020, al is op basis van de beschikbare bronnen niet bevestigd dat Sony de betaling zelf publiek heeft bevestigd.
Wat is er gebeurd?
Volgens IGN heeft Sony een beloning van $50.000 toegekend aan een hacker die een PS5-exploit privé meldde via HackerOne. De onderzoeker wordt in het artikel aangeduid als ‘Jordy’, terwijl de kwetsbaarheid wordt beschreven als een hypervisorbug voor PlayStation 5-firmwareversies 13.60 tot en met 14.00. In de externe context wordt dezelfde onderzoeker ook genoemd als 2tonejordy, maar de beschikbare bronnen leggen geen officiële koppeling tussen die naam en een door Sony bevestigde identiteit.
De publicatie stelt dat de exploit met AI is gevonden en niet openbaar is gemaakt. In dezelfde berichtgeving wordt de bug gekoppeld aan mogelijke kernel code execution en aan de mogelijkheid om Linux op de PS5 te booten, al blijft onduidelijk hoe ver die praktische impact precies reikt. Een andere bron in de context noemt de exploit “Byepervisor Reborn” en stelt dat deze op firmware 13.60 de hypervisor opent, maar dat het nog geen volledige jailbreak is. Een aanvullende bron noemt bovendien dat firmware 14.10 de exploit zou patchen, wat laat zien dat de exacte impact per firmwareversie in de bredere berichtgeving niet volledig eenduidig is.
De melding zorgde voor discussie binnen de homebrewscene. Volgens de aangehaalde berichtgeving vonden sommige betrokkenen dat de exploit langer privé had moeten blijven, onder meer met het oog op GTA 6 en de firmware die daarvoor nodig zou zijn. In de social-context wordt daarbij verwezen naar 19 november als de datum waarop GTA 6 zou moeten verschijnen, en naar het idee dat spelers op die dag hun console zouden moeten updaten om de game te kunnen spelen. Tegelijk zou de exploit dan juist bruikbaar blijven voor Linux-boot op dezelfde machine, zolang de kwetsbaarheid niet was gepatcht.
Tijdlijn
19 november: in de social-context wordt deze datum genoemd als de geplande lancering van GTA 6, en als reden waarom sommige modders de exploit liever later hadden gezien.
Voor publicatie: de PS5-hypervisorbug wordt volgens IGN privé gemeld via HackerOne.
Voor publicatie: Sony zou een bounty van $50.000 hebben uitgekeerd voor de melding.
Voor publicatie: de exploit wordt in de berichtgeving gekoppeld aan firmware 13.60 tot en met 14.00, terwijl aanvullende context firmware 14.10 noemt als latere patchgrens.
Voor publicatie: de discussie in de homebrewscene draait om de vraag of de exploit tot na GTA 6’s lancering privé had moeten blijven.
2026-10-26: het artikel over de bounty en de discussie rond de exploit verschijnt.
Achtergrond
De kern van het verhaal is de spanning tussen verantwoord melden van een kwetsbaarheid en het bewaren van een exploit voor homebrew-gebruik. In de berichtgeving wordt ook verwezen naar een security engineer die de bug volgens de bron al maanden eerder zou hebben gevonden en die de exploit wilde vasthouden tot na de GTA 6-lancering. Die naam wordt in de beschikbare bronnen niet genoemd, waardoor alleen duidelijk is dat het om een tweede, niet nader geïdentificeerde betrokkene gaat.
De beschikbare context laat zien dat de discussie niet alleen over de bounty ging, maar ook over timing. Een tweet in de bronset citeert een betrokken stem die stelt dat mensen GTA 6 legaal wilden kopen en spelen op een normale PS5-omgeving zonder de mogelijkheid te verliezen om Linux te dual-booten. In dezelfde context wordt Linux op de PS5 vergeleken met een tijdelijke soft-mod die na een herstart weer terugvalt naar een normale consolestatus. Dat sluit aan op de bredere homebrew-discussie waarin een exploit niet alleen als beveiligingslek, maar ook als technisch hulpmiddel wordt gezien.
Op basis van de beschikbare bronnen is niet bevestigd of Sony de betaling zelf publiek heeft bevestigd, welke AI-tool of workflow precies is gebruikt, of de genoemde firmwareversie 13.60 tot 14.00 de volledige impactrange is. Ook is niet duidelijk of Sony de kwetsbaarheid inmiddels officieel heeft gepatcht en op welke datum dat dan zou zijn gebeurd. Wel noemt de externe context een bron die stelt dat de exploit op 14.10 is gepatcht, maar dat blijft in deze set bronnen een secundaire claim en geen door Sony bevestigd patchbericht.
De berichtgeving plaatst de bounty bovendien in een bredere trend rond Sony’s bugbountyprogramma op HackerOne. Een externe bron noemt het een recorduitbetaling van $50.000 voor een kritieke PlayStation 5-kwetsbaarheid en stelt dat dit pas de tweede maximale uitbetaling in het programma sinds 2020 zou zijn. Dat maakt de melding relevant als securityverhaal, maar ook als voorbeeld van hoe snel een privé gemelde consolebug kan uitgroeien tot een discussie over publicatie, patching en communitygebruik.
Gerelateerde GAME-scanner artikelen
Bronnen
- IGN: “Sony Awarded a Hacker $50,000 for Privately Reporting a PS5 Exploit He Found With AI”
- X/Twitter-context in de bronset over GTA 6, Linux en de timing van de disclosure