Tri vzdialené útoky na Pixel 10 uspeli na Pwn2Own Ireland
Tri tímy na súťaži Pwn2Own Ireland úspešne kompromitovali plne aktualizovaný Google Pixel 10 na diaľku. ZDI zatiaľ nezverejnila technické detaily ani termín opráv.
Pwn2Own Pixel 10 priniesol v treťom dni súťaže v írskom Corku tri úspešné demonštrácie vzdialeného kompromitovania zariadenia. Organizátor Zero Day Initiative (ZDI) potvrdil, že útoky vykonali tímy Xint, Ikotas Labs a trojica Dimitrios Valsamaras, Ken Gannon a Tenie Valsamara.
Za tri úspešné pokusy získali účastníci spolu 562 500 dolárov. Najvyššiu jednotlivú odmenu, 300 000 dolárov, získal tím Ikotas Labs, ktorý zároveň získal titul Master of Pwn. Tím Xint dostal 150 000 dolárov a trojica Valsamaras, Gannon a Valsamara 112 500 dolárov.
Pwn2Own Pixel 10 bežal s aktuálnymi opravami
Podľa pravidiel Pwn2Own bežia súťažné ciele na najnovšej dostupnej plne opravenej verzii operačného systému a v predvolenej konfigurácii. Výsledok preto nehovorí o útoku na konkrétnych používateľov, ale o overenej demonštrácii zneužiteľného vzdialeného útokového povrchu aktuálne zaplátaného Pixelu 10 v kontrolovaných súťažných podmienkach.
Pre kategóriu Pixel 10 Remote pravidlá povoľujú útok cez webový obsah v predvolenom prehliadači, NFC, Wi‑Fi, Bluetooth alebo baseband. ZDI však nezverejnila, ktorý z týchto vektorov jednotlivé tímy použili. Verejne nie je známe ani to, aké zraniteľnosti boli súčasťou reťazcov, aký mali dopad na dáta či oprávnenia v zariadení a či vyžadovali interakciu používateľa.
Čo znamenajú výsledky súťaže
Pwn2Own je súťaž zameraná na koordinované odovzdávanie bezpečnostných chýb výrobcom. Technické informácie o úspešných pokusoch sa zvyčajne nezverejňujú okamžite, aby mal dotknutý dodávateľ priestor pripraviť opravy. V tomto prípade ZDI zatiaľ nepotvrdila, ktoré chyby Google opraví ani v ktorom bezpečnostnom bulletine sa môžu objaviť.
Dve výsledkové položky boli označené termínom „collision“. Toto označenie znamená, že reťazec obsahoval už známu chybu. ZDI nevysvetlila, prečo Ikotas Labs napriek tomuto označeniu získal plnú odmenu 300 000 dolárov.
Neexistuje ani potvrdenie, že by boli zraniteľnosti predvedené počas súťaže aktívne zneužívané mimo súťažných zariadení. Používatelia Pixelov preto v tejto chvíli nemajú k dispozícii konkrétne verejné indikátory kompromitácie ani oznámené zmiernenie pre tieto chyby.
Na čo čakať ďalej
Ďalšie podrobnosti môžu priniesť bezpečnostné bulletiny Googlu, pridelené identifikátory CVE alebo neskoršie technické materiály ZDI po koordinovanom období zverejnenia. Dôležité bude aj prípadné vyjadrenie Googlu k rozsahu zasiahnutých modelov a dostupnosti opráv.
Do zverejnenia opráv zostáva praktickým krokom udržiavať Android a bezpečnostné aktualizácie zariadenia na najnovšej dostupnej verzii. Samotné výsledky Pwn2Own Pixel 10 zatiaľ neposkytujú dostatok informácií na určenie konkrétneho rizika pre bežné nasadenie.
Zdroje
- Zero Day Initiative — Pwn2Own Ireland 2026: Day Three Results & Master of Pwn – Oficiálne potvrdzuje tri úspešné vzdialené pokusy proti Pixel 10, tímy, odmeny a víťazstvo Ikotas Labs.
- Zero Day Initiative — Pwn2Own Ireland 2026 Rules – Definuje aktuálne zaplátané ciele, podmienky úspešného útoku a povolené vzdialené vektory pre Pixel 10.
- The Hacker News – Nezávisle sumarizuje výsledky a upozorňuje, že technické detaily a oprava zatiaľ neboli zverejnené.
Overené a aktualizované: 10. 10. 2026 06:27
