Три исследовательские команды взломали Google Pixel 10 8 октября на Pwn2Own в Ирландии, хакерском конкурсе в Корке, правила которого требуют, чтобы каждая цель была полностью обновлена. Конкурс оплачивает исследователям демонстрацию работающих эксплойтов и передает уязвимости поставщикам. Один из трех эксплойтов Pixel принес Ikotas Labs 300,000 долларов, главный приз конкурса, и сделал команду общим победителем.
Инициатива Zero Day от Trend Micro (ZDI), которая организует Pwn2Own, опубликовала результаты, но на 9 октября не раскрыла, как работают три эксплойта. Победы были демонстрациями на конкурсных телефонах, и как минимум два из трех использовали ошибку, уже известную до попытки.
Правила конкурса требуют, чтобы каждая заявка использовала ошибки, которые еще не известны поставщику или организатору. Заявка, использующая уже известную ошибку, которую ZDI называет коллизией, все равно может быть принята, но с меньшим призом.
Три победы Pixel 10, в порядке их появления:
Команда
Описание ZDI
Награда
Очки
Xint (Тим Беккер и Ив Бьери)
Использовали "одну коллизию ошибки"
150,000 долларов
15
Ikotas Labs
"связали несколько проблем вместе" (заявка помечена как коллизия)
300,000 долларов
30
Димитриос Вальсамарас, Кен Ганнон и Тения Вальсамара
Цепочка из двух ошибок: одна коллизия и один нулевой день
112,500 долларов
22.5
В сумме три победы принесли 562,500 долларов. Все три команды соревновались за один и тот же указанный приз в 300,000 долларов и 30 очков.
Xint выступила первой. Ее победа была сначала объявлена с полным призом, который еще должен был быть подтвержден, затем установлен на 150,000 долларов и 15 очков, что составляет половину указанных сумм.
Ikotas Labs выступила второй и получила полный приз в 300,000 долларов и 30 очков. Ее заявка также помечена как коллизия в результатах, без объяснения метки или причин, почему был выплачен полный приз.
Все три заявки на Pixel 10 были зарегистрированы как удаленные эксплойты. Согласно правилам, это означает взлом телефона через веб-контент, открытый в его стандартном браузере, или через одну из четырех радиосвязей: NFC, Wi-Fi, Bluetooth или базовая полоса.
Победная заявка должна запускать код по выбору атакующего на телефоне или извлекать с него конфиденциальную информацию. Какой маршрут использовала каждая команда и что делал каждый эксплойт на телефоне, не было опубликовано.
Три из четырех удаленных попыток на Pixel 10 увенчались успехом. Другой, в первый день конкурса, не успела завершиться.
Что будет дальше
Согласно правилам, победившие команды передают свои эксплойты и отчеты ZDI, а ошибки передаются затронутым поставщикам. Затем у поставщиков есть 90 дней, чтобы выпустить патчи, прежде чем ZDI опубликует полные технические детали, согласно статье TrendAI от июня, бизнеса Trend Micro по корпоративной безопасности.
Октябрьский бюллетень Pixel от Google был опубликован 6 октября, за два дня до демонстрации эксплойтов Pixel 10, и не упоминает конкурс. В результатах ZDI нет упоминания о патче и о том, какие действия должны предпринять владельцы Pixel.
Galaxy S26 и другие результаты
Samsung Galaxy S26 был взломан во всех семи попытках, сделанных на нем во время конкурса. Шесть из семи выигравших заявок включали как минимум одну коллизию. ZDI сообщила, что одна ошибка в цепочке Galaxy S26, использованной Ikotas Labs в первый день, "уже была известна поставщику (но не была исправлена)" на тот момент.
Ikotas Labs также взломала кодирующий агент OpenAI Codex и, на второй день, автономную базу данных AI Oracle. Четыре ее победы составляют 361,000 долларов и 42.5 очков в опубликованных результатах ZDI. ZDI назвала ее Мастером Pwn, титул для участника с наибольшим количеством очков.
Исследователи также взломали принтеры Lexmark, Canon и Brother, три устройства умного дома (Sonos Era 300, Philips Hue Bridge Pro и Home Assistant Green) и Garmin Index BPM, устройство для здоровья.
Каждый продукт в расписании был взломан как минимум один раз, и 51 из 63 запланированных попыток увенчались успехом. В расписании не было попыток на iPhone 17 от Apple или на WhatsApp, каждая из которых имела главный приз в 300,000 долларов.
Общая сумма наград ZDI за три дня составляет более 1.2 миллиона долларов, что превышает 1,024,750 долларов, которые были вручены на прошлом конкурсе в Ирландии.
Отдельно Google в сентябре исправила уязвимость модема Pixel, CVE-2026-58704, о которой она заявила: "может быть под ограниченной, целевой эксплуатацией." Телефоны Pixel на уровне патча 2026-09-05 или позже имеют это исправление.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.