Three Teams Demonstrate Remote Hacks of Fully Patched Google Pixel 10 at Pwn2Own
The Hacker News · 9 oct, 10:26
Qué hacer: Actualiza Google Pixel a nivel de parche 2026-09-05 o posterior para el fix de CVE-2026-58704; espera actualizaciones de Google cuando se publiquen los parches para las vulnerabilidades de Pwn2Own.
Tres equipos de investigadores consiguieron acceso remoto a Google Pixel 10 completamente parcheados en Pwn2Own Ireland el 8 de octubre, un concurso donde los investigadores demuestran exploits que luego se transmiten a los proveedores. El equipo ganador, Ikotas Labs, recibió el premio máximo de 300.000 dólares tras encadenar múltiples fallos; dos de los tres ataques utilizaron bugs previamente conocidos según las reglas del concurso.
Pwn2Own Ireland permitió tres demostraciones exitosas sobre Pixel 10: Xint utilizó un bug colisión por $150.000, Ikotas Labs encadenó múltiples issues (calificado como colisión) por $300.000 completos, y un tercer equipo combinó un bug colisión con un zero-day por $112.500. Todos los ataques fueron remotos, ejecutándose a través del navegador por defecto o interfaces inalámbricos (NFC, Wi-Fi, Bluetooth, baseband). Los detalles técnicos de cómo funcionan los exploits no han sido publicados aún.
Zero Day Initiative pasará los bugs descubiertos a Google con un plazo de 90 días para parches antes de revelar detalles técnicos. El boletín Pixel de octubre de Google (publicado el 6 de octubre) no menciona estos ataques del concurso. Simultáneamente, Google parcheó en septiembre CVE-2026-58704, una vulnerabilidad en el módem del Pixel que describe como "posiblemente bajo explotación limitada y dirigida".
Puntos clave
- Tres exploits remotos exitosos en Pixel 10 completamente parcheado en Pwn2Own Ireland
- Dos de los tres ataques utilizaron bugs colisión; uno combinó colisión con zero-day
- Ikotas Labs ganó Master of Pwn con cuatro ataques exitosos totalizando $361.000
- Google tiene 90 días para parchear antes de publicar detalles técnicos
- CVE-2026-58704 (módem Pixel) reportado bajo explotación limitada en septiembre
Figuras de la fuente
