Ba đội nghiên cứu khai thác thành công Google Pixel 10 tại Pwn2Own
"At Pwn2Own Ireland, three teams demonstrated remote exploits against a fully patched Google Pixel 10, with one chain using a single bug collision, one chaining multiple issues, and one combining a collision with a zero-day. The contest awarded a total of $562,500 for the Pixel 10 wins, but ZDI had not yet published technical details or any user action, and Google had already issued an unrelated September fix for CVE-2026-58704 affecting Pixel modems."
Cho thấy Pixel 10 vẫn có thể bị khai thác từ xa dù đã vá đầy đủ; rủi ro tăng nếu chi tiết kỹ thuật được công bố sau thời gian công bố của ZDI.
Có thể ảnh hưởng đến quản trị thiết bị di động và quy trình cập nhật bản vá; cần theo dõi thông báo từ nhà cung cấp và chuẩn bị kiểm tra cấu hình bảo mật.
Tại Pwn2Own Ireland, ba nhóm nghiên cứu đã trình diễn các khai thác từ xa trên Google Pixel 10 dù thiết bị đã được vá đầy đủ theo yêu cầu cuộc thi. Theo Zero Day Initiative (ZDI), các bài khai thác này được thực hiện trên máy thử nghiệm và hiện chưa có chi tiết kỹ thuật công khai. Tổng tiền thưởng cho ba lượt thắng liên quan đến Pixel 10 là 562.500 USD.
ZDI mô tả ba cách khai thác khác nhau: một trường hợp dùng bug collision đơn lẻ, một trường hợp kết hợp nhiều lỗi, và một trường hợp ghép collision với một zero-day. Các mục dự thi đều được xếp loại remote exploit, nghĩa là có thể xâm nhập qua nội dung web trong trình duyệt mặc định hoặc qua các kênh như NFC, Wi‑Fi, Bluetooth hay baseband. Tuy nhiên, ZDI chưa công bố đường tấn công cụ thể hay tác động chi tiết trên thiết bị.
Về vận hành, các đội thắng sẽ nộp mã khai thác cho ZDI, sau đó lỗi được chuyển cho nhà cung cấp và thường có 90 ngày để phát hành bản vá trước khi công bố đầy đủ. Với doanh nghiệp đang quản lý thiết bị Pixel, nên duy trì cập nhật bảo mật mới nhất, theo dõi thông báo từ Google và chuẩn bị quy trình phản ứng nếu xuất hiện chi tiết khai thác mới.
Lưu ý thêm: Google trước đó đã vá CVE-2026-58704 liên quan đến modem Pixel, áp dụng cho thiết bị ở mức bản vá 2026-09-05 trở lên.