562 тысячи долларов за дыры в свежем флагмане Pixel

На соревновании ZDI Pwn2Own Ireland, которое прошло 8 октября в Корке, три исследовательские команды продемонстрировали удаленные взломы Google Pixel 10 — причем на аппаратах с последними патчами. Общий призовой фонд за эти эксплойты составил $562,5 тыс.

Правила Pwn2Own требуют, чтобы все цели работали на актуальных прошивках, а уязвимости не были известны производителю на момент атаки. Три из четырех попыток вскрыть Pixel 10 оказались успешными, четвертая — сломалась по таймауту в первый день. Формально все три зачета помечены как «коллизии» — это внутренний термин ZDI для случаев, когда в цепочке использован уже известный баг. ZDI в итоговой таблице не уточнила, почему Ikotas Labs получила полный приз, несмотря на пометку, а Xint — только половину.

Расклад по деньгам и очкам выглядит так:

Ikotas Labs — 300 000 долларов и 30 очков. Полная цепочка, полный приз, титул Master of Pwn.
Xint (Тим Беккер и Ив Биери) — 150 000 долларов и 15 очков. Один известный баг, половина приза
Димитриос Валсамарас, Кен Гэннон и Тения Валсамара — 112 500 долларов и 22,5 очка. Связка из двух дыр, одна известная, одна свежая.

Все три эксплойта зарегистрированы как удаленные. Вход либо через содержимое, открытое в браузере, либо через один из четырех радиоканалов — NFC, Wi-Fi, Bluetooth или базовый модем. Что именно каждая команда сделала с телефоном после проникновения, ZDI не раскрывает. Google, в свою очередь, выпустила октябрьский бюллетень безопасности 6 октября — за два дня до демонстрации, и ни словом не обмолвилась о грядущем позоре.

Pwn2Own Ireland 2026 в целом выдался урожайным. 29 команд наскребли 98 уникальных zero-day в семи категориях и заработали в сумме более $1,26 млн. Samsung Galaxy S26 пережил семь попыток взлома и семь раз сдался, причем шесть зачетов содержали как минимум одну «коллизию». Ikotas Labs, помимо Pixel, отметилась на OpenAI Codex и Oracle Autonomous AI Database — суммарно $361 тыс. и 42,5 очка.

Отдельного упоминания заслуживает дисциплина участников в отношении Apple: iPhone 17 с максимальным призом в $300 тыс. долларов не тронул никто. То ли команды сочли задачу не по зубам, то ли решили, что ломать телефон, который и так обновляется раз в год, — занятие для тех, у кого слишком много свободного времени. У вендоров теперь есть 90 дней на выпуск патчей, после чего ZDI опубликует технические детали. Владельцам Pixel 10 пока остается только гадать, попали ли их аппараты в те самые три цепочки, и обновляться при первой же возможности — на всякий случай.

@antiinfosec