Pwn2Own: Pixel 10 Dipatch Ditembus Tiga Kali

Pwn2Own: Pixel 10 Dipatch Ditembus Tiga Kali

Nombor paling menarik daripada Pwn2Own Ireland 2026 bukan wang hadiahnya. Ia ialah bilangan pasukan yang menyerang Google Pixel 10 yang sudah dipatch sepenuhnya pada hari yang sama — dan berjaya keluar dengan code execution.

Pada 8 Oktober, tiga pasukan penyelidik berasingan mengeksploit Pixel 10 dalam pertandingan di Cork itu — secara remote, melalui rangkaian, pada peranti yang peraturan pertandingan wajibkan menjalankan firmware terbaru (Zero Day Initiative). Ketiga-tiga kemenangan itu membayar $562,500 secara keseluruhan. Satu percubaan Pixel keempat, pada hari pertama, kehabisan masa sebelum ia berjaya. Jadi empat pasukan serius menyasarkan satu telefon dalam tiga hari, dan tiga daripadanya berjaya.

Beginilah rupa permukaan serangan mobile moden.

Apa maksud "sudah dipatch sepenuhnya" di sini

Pwn2Own bukan perburuan bug yang memberi peserta kelebihan awal. Peraturan pertandingan mewajibkan setiap sasaran menjalankan firmware terbaru, dan satu penyertaan yang menang perlu menunjukkan code execution sebenar atau mencapai objektif yang dipilih penyerang (peraturan pertandingan). Apabila satu pasukan menembusi telefon di pertandingan ini, telefon itu dipatch sebaik yang Google boleh buat pada minggu itu.

Ada satu nuansa yang perlu dinyatakan dengan jelas: collision. Jika sesuatu bug sudah diketahui vendor atau penganjur, ZDI tetap menerima penyertaan itu tetapi membayar ganjaran yang dikurangkan dan menandakannya sebagai collision. Jadi "success with a collision" boleh bermakna kelemahan itu sudah ada dalam senarai seseorang — tetapi tidak semestinya sudah dibaiki. Sekurang-kurangnya dua daripada tiga kemenangan Pixel itu menggunakan bug yang sudah diketahui sebelum percubaan itu.

Perbezaan itu lebih penting daripada papan skor. Collision ialah bukti bahawa vendor sudah tahu tentang sesuatu kelemahan, dan kelemahan itu masih boleh dieksploit pada masa pertandingan.

Tiga kemenangan Pixel itu

• Xint (Tim Becker dan Yves Bieri) berjaya masuk dengan satu bug collision, memperoleh $150,000 dan 15 mata.
• Ikotas Labs merantaikan beberapa isu, memperoleh $300,000 — hadiah terbesar dalam pertandingan itu — dan 30 mata. ZDI menandakannya sebagai success with a collision.
• Dimitrios Valsamaras, Ken Gannon (menggunakan Djini.ai daripada Mobile Hacking Lab) dan Tenia Valsamara dari CENSUS Labs menggunakan rantaian dua bug, satu collision dan satu zero-day, untuk $112,500 dan 22.5 mata.

Ketiga-tiga penyertaan didaftarkan sebagai eksploit remote, bermakna penyerang masuk melalui kandungan dalam browser lalai atau melalui udara — NFC, Wi-Fi, Bluetooth atau baseband selular — bukan dengan memasang kabel. Itulah model ancaman yang realistik untuk telefon, dan sebab itulah tiga kemenangan remote dalam satu hari ialah satu isyarat, bukan helah pertunjukan.

Galaxy S26 bercerita perkara sama, lebih lantang

Samsung Galaxy S26 diserang dalam ketujuh-tujuh percubaan yang dibuat ke atasnya sepanjang pertandingan, dan enam daripada tujuh penyertaan yang menang mengandungi sekurang-kurangnya satu collision. ZDI menyatakan satu bug dalam rantaian yang digunakan Ikotas Labs pada hari pertama "was already known to the vendor (yet unpatched)" (The Hacker News).

Baca semula ayat itu, kerana itulah keseluruhan masalahnya: diketahui vendor, masih belum dipatch, dan kemudian digunakan untuk menembusi peranti dalam pertandingan secara langsung. Ketersediaan patch dan penggunaan patch bukan perkara yang sama, dan kedua-duanya pun bukan sama dengan versi terdedah yang masih sampai kepada pengguna.

Ikotas Labs sapu bersih

Ikotas Labs bukan hanya menembusi telefon. Empat kemenangannya sepanjang pertandingan berjumlah $361,000, 42.5 mata dan 13 bug unik, yang menjadikannya Master of Pwn — gelaran untuk peserta dengan mata terbanyak. Selain Pixel 10 dan Galaxy S26, pasukan itu juga mengeksploit Codex milik OpenAI dengan satu bug argument injection, dan pada hari kedua, Oracle Autonomous AI Database (Zero Day Initiative).

Gabungan itulah tajuk utamanya: telefon, sebuah AI coding agent, dan sebuah pangkalan data, semuanya ditembusi oleh satu pasukan dalam tempoh seminggu. Keputusan Codex itu mengingatkan bahawa tooling yang developer halakan kepada source code mereka sendiri juga merupakan sasaran — perkara yang kami bincangkan dalam sandbox escape Codex.

Dalam ketujuh-tujuh kategori, peserta menunjukkan 98 zero-day dan mengutip $1,262,000 (BleepingComputer). iPhone 17 Apple membawa hadiah utama remote hack sebanyak $300,000 tetapi tidak menarik sebarang percubaan berdaftar — sesuatu ketiadaan yang boleh ditafsirkan dua cara.

Belum ada apa yang perlu anda lakukan

Penting untuk tidak bertindak berlebihan terhadap keputusan pertandingan.

ZDI belum menerbitkan bagaimana tiga eksploit Pixel itu berfungsi setakat 9 Oktober. Apabila ia diterbitkan, pihak vendor mendapat 90 hari untuk mengeluarkan patch sebelum butiran teknikalnya diumumkan. Buletin Pixel Oktober Google sendiri, yang diterbitkan pada 6 Oktober, tidak menyebut pertandingan itu, dan tiada patch disenaraikan dan tiada tindakan untuk pemilik Pixel berkaitan keputusan ini buat masa ini.

Jadi pengajarannya bukan "Pixel anda digodam sekarang". Ia ialah trendnya: telefon flagship yang sudah dipatch sepenuhnya ditawan secara remote oleh tiga pasukan bebas dalam satu hari, dan salah satu bahannya ialah sesuatu yang vendor sudah tahu.

Bahagian yang anda benar-benar boleh lakukan

Ada satu tindakan konkrit dan boleh disahkan tersembunyi dalam kisah ini. Pada September, Google menampal CVE-2026-58704, satu kelemahan dalam modem selular Pixel — permission bypass yang boleh dicapai oleh penyerang berdekatan tanpa sebarang interaksi daripada mangsa. Buletin September Google memberi amaran bahawa bug itu "may be under limited, targeted exploitation" (Android Security Bulletin), CISA menambahnya ke katalog Known Exploited Vulnerabilities pada hari berikutnya, dan agensi persekutuan diberi masa sehingga 19 September untuk menampalnya (CVE-2026-58704 mendapat CVSS 8.8) (NVD).

Yang itu boleh anda semak dalam beberapa saat. Jika anda menggunakan Pixel dan ada adb terpasang:

#!/usr/bin/env bash
# Check whether a Pixel is at or past the September 2026 patch level,
# the build that carries the fix for CVE-2026-58704.
set -euo pipefail

REQUIRED="2026-09-05"          # Pixel Update Bulletin, September 2026
level="$(adb shell getprop ro.build.version.security_patch | tr -d '\r')"

if [ -z "$level" ]; then
  echo "No device reachable over adb." >&2
  exit 2
fi

echo "Device patch level: $level"
if [[ "$level" > "$REQUIRED" || "$level" == "$REQUIRED" ]]; then
  echo "OK: at or past the required patch level."
else
  echo "UPDATE: device is behind $REQUIRED. Check Settings > System > Software update." >&2
  exit 1
fi

Tarikh ISO dibandingkan dengan betul sebagai rentetan, jadi pemeriksaan leksikografi itu selamat. Jalankan, dan jika sesebuah telefon dilaporkan di belakang 2026-09-05, kemas kini ia.

Pengajaran yang lebih luas kurang selesa. Pertandingan yang mewajibkan sasaran sudah dipatch sepenuhnya wujud semata-mata untuk menunjukkan apa yang patching tidak melindungi. Tiga pasukan membuktikan pada 8 Oktober bahawa jawapannya masih "banyak".

Sumber

• Zero Day Initiative: Pwn2Own Ireland 2026 - Day Three Results & Master of Pwn
• The Hacker News: Three Teams Demonstrate Remote Hacks of Fully Patched Google Pixel 10 at Pwn2Own
• BleepingComputer: Hackers get $1,262,000 for 98 zero-days at Pwn2Own Ireland
• Zero Day Initiative: Pwn2Own Ireland 2026 Rules
• Android Open Source Project: Pixel Update Bulletin - September 2026
• NIST NVD: CVE-2026-58704 Detail