三支研究团队于10月8日在Pwn2Own爱尔兰的黑客比赛中攻入了Google的Pixel 10，该比赛在科克举行，规则要求每个目标必须完全修补。比赛支付研究人员展示有效的漏洞利用，并将缺陷传递给供应商。其中一项Pixel漏洞为Ikotas Labs赢得了30万美元的奖金，成为比赛的总冠军。
负责Pwn2Own的趋势科技零日计划（ZDI）发布了结果，但截至10月9日尚未公布这三项漏洞利用的具体工作原理。这些胜利是在比赛手机上进行的演示，至少有三项中的两项使用了在尝试之前已知的漏洞。
比赛规则要求每个参赛作品使用的漏洞必须是供应商或组织者尚未知道的。使用已知漏洞的参赛作品，ZDI称之为碰撞，仍然可以接受，但奖金会降低。
三项Pixel 10的胜利，按发生顺序排列：
团队
ZDI的描述
奖金
积分
Xint（Tim Becker和Yves Bieri）
使用“单个漏洞碰撞”
150,000美元
15
Ikotas Labs
“将多个问题串联在一起”（条目标记为碰撞）
300,000美元
30
Dimitrios Valsamaras、Ken Gannon和Tenia Valsamara
两个漏洞的链：一个碰撞和一个零日
112,500美元
22.5
三项胜利总计支付了562,500美元。所有三支团队都在争夺同一列出的奖金300,000美元和30积分。
Xint首先获胜。它的胜利最初宣布时全额奖金尚待确认，随后设定为150,000美元和15积分，为列出金额的一半。
Ikotas Labs第二个获胜，获得全额300,000美元和30积分。其条目在结果中也标记为碰撞，但没有解释该标签或为何支付全额奖金的原因。
所有三项Pixel 10的参赛作品均注册为远程漏洞利用。根据规则，这意味着通过在默认浏览器中打开的网页内容或通过四个无线电链接之一（NFC、Wi-Fi、蓝牙或基带）攻入手机。
获胜的条目必须在手机上运行攻击者选择的代码或从中提取敏感信息。每个团队使用的攻击路径，以及每个漏洞在手机上执行的操作尚未公布。
四次对Pixel 10的远程尝试中有三次成功。另一项在比赛的第一天因时间不足而未能成功。
接下来会发生什么
根据规则，获胜团队将其漏洞利用和报告提交给ZDI，漏洞将传递给受影响的供应商。根据趋势科技企业安全业务TrendAI在六月的一篇文章，供应商随后有90天的时间发布补丁，然后ZDI才会公布完整的技术细节。
Google的十月Pixel公告于10月6日发布，距离Pixel 10漏洞展示前两天，并未提及比赛。ZDI的结果没有列出修复措施，也没有给Pixel用户提供任何步骤。
Galaxy S26和其他结果
在比赛期间，三星的Galaxy S26在所有七次尝试中均被利用。七个获胜条目中有六个包含至少一个碰撞。ZDI表示，Ikotas Labs在第一天使用的Galaxy S26链中的一个漏洞“在当时已为供应商所知（但尚未修补）”。
Ikotas Labs还利用了OpenAI的Codex编码代理，并在第二天利用了Oracle的自主AI数据库。其四项胜利在ZDI发布的结果中总计为361,000美元和42.5积分。ZDI将其称为“Pwn大师”，这是积分最高的参赛者的称号。
研究人员还利用了Lexmark、Canon和Brother打印机，三个智能家居设备（Sonos Era 300、Philips Hue Bridge Pro和Home Assistant Green）以及Garmin Index BPM，一个健康设备。
日程表上的每个产品至少被利用过一次，63个计划尝试中有51个成功。日程表上没有列出对Apple的iPhone 17或WhatsApp的尝试，每个的最高奖金为300,000美元。
ZDI发布的三天奖金总额超过120万美元，超过了去年爱尔兰比赛颁发的1,024,750美元。
另外，Google在九月修补了一个Pixel调制解调器漏洞，CVE-2026-58704，称其“可能受到有限的、有针对性的利用”。在2026-09-05或之后的补丁级别的Pixel手机已包含该修复。
觉得这篇文章有趣吗？请在Google新闻、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。