ハッキング大会「Pwn2Own」で最新のPixel 10が攻略、3チームが遠隔侵入に成功

要点

• アイルランド開催のセキュリティ競技会「Pwn2Own」にて、最新パッチ適用済みのGoogle「Pixel 10」に対する遠隔攻撃が3件成功した。

• 参加3チームに計56万2500ドルの賞金が授与され、満額の30万ドルを獲得したIkotas Labsが大会総合優勝を果たした。

• 侵入経路や手法の詳細は非公開であり、ベンダー側には修正パッチ提供まで90日間の猶予期間が設けられている。

• 会場ではSamsungの「Galaxy S26」やスマート家電、AI関連製品も攻略され、全63回の試行中51回が成功を収めた。

• トレンドマイクロ傘下のZero Day Initiative（ZDI）が主催するハッキング競技会「Pwn2Own Ireland」において、最新セキュリティパッチが適用されたGoogleのスマートフォン「Pixel 10」への遠隔攻撃が実証された。現地時間2026年10月8日に行われた検証では、エントリーされた4回の試みのうち3回で侵入が成立している。発見された脆弱性は主催者を通じてGoogleへ引き渡されており、今後修正対応が進められる見通しだ。

完全パッチ適用端末への遠隔攻撃とコンテスト規定

Pwn2Ownは、セキュリティ研究者が実機を標的に未知の脆弱性や攻撃手法を検証し合う国際的なコンテストである。アイルランドのコークで開催された今大会では、すべての標的端末に最新の修正プログラムを適用した状態（完全パッチ適用済み）であることが厳格に義務付けられていた。

規則における「リモートエクスプロイト（遠隔からの不正侵入）」とは、標準ブラウザで開いたWebコンテンツ、またはNFC、Wi-Fi、Bluetooth、通信モデムを司るベースバンドという4種の無線通信を介した侵入を指す。攻撃者が指定したコードの実行や機密情報の抽出が成功条件となる。Pixel 10への挑戦は計4回行われ、初日の1件は時間切れとなったものの、残る3件が実証に成功した。各チームがどの通信経路を使ったか、侵入後にどのような操作を行ったかといった技術的詳細は、10月9日時点では公表されていない。

成功した3チームの手法と賞金の内訳

実証に成功した3チームには、合計56万2500ドルの賞金が授与された。各チームはいずれも当初設定されていた満額の賞金30万ドルと30ポイントを目指して競技に臨んでいた。

規則では未知のバグを使用することが原則だが、すでに知られているバグを使った場合も、ZDIが「コリジョン（既知バグとの重複）」と呼ぶ扱いで減額された賞金を受け取れる規定となっている。

最初に挑戦した「Xint」（ティム・ベッカー氏、イヴ・ビエリ氏）は単一のコリジョンを用いた攻撃を行い、半額の15万ドルと15ポイントを獲得した。

続く「Ikotas Labs」は複数の問題を連鎖させたエクスプロイトを成功させた。公式結果ではコリジョンと注記されているものの、同チームには満額の30万ドルと30ポイントが授与された。この注記の理由や満額支給の背景は明かされていない。

3組目のディミトリオス・ヴァルサマラス氏、ケン・ギャノン氏、テニア・ヴァルサマラ氏のチームは、コリジョン1件と「ゼロデイ」（修正パッチが存在しない未知の脆弱性）1件を組み合わせた連鎖攻撃により、11万2500ドルと22.5ポイントを獲得した。

脆弱性修正までのプロセスと現状

実証に成功したチームは、エクスプロイトの手順書をZDIへ引き渡す。ZDIから影響を受けるベンダーへ脆弱性が報告され、ベンダー各社にはセキュリティ修正を配布するための90日間の猶予期間が与えられる。技術的な詳細情報がZDIから一般公開されるのは、この猶予期間が経過した後となる。

Googleは実証の2日前にあたる10月6日に10月版のPixel向けセキュリティ速報を公開済みであり、その中では本大会に関する言及はない。現時点でZDIの結果一覧にも、修正策や端末利用者が今すぐ行うべき手順は記載されていない。

Galaxy S26やAIサービスも攻略、8割以上の試行が成功

会場ではPixel 10以外の製品も標的となった。Samsungの「Galaxy S26」は試行された7回すべてで攻略され、うち6件でコリジョンが含まれていた。Ikotas Labsが初日に用いたGalaxy S26への連鎖攻撃に含まれていたバグの1つは、当時ベンダーが把握しつつもパッチ未提供の状態だったとZDIは説明している。

Ikotas Labsはさらに、OpenAIのコーディング支援AI「Codex」やOracleの「Autonomous AI Database」の攻略にも成功した。計4勝を挙げた同チームは賞金総額36万1000ドルと42.5ポイントを獲得し、最多得点者に贈られる「Master of Pwn」の栄冠を手にした。

大会全体ではプリンター各社（レックスマーク、キヤノン、ブラザー）やスマートホーム機器、ガーミンの血圧計「Index BPM」なども攻略された。スケジュールされたすべての製品で1回以上の攻略が成立し、全63回の試行中51回が成功を収めた。なお、事前の進行表にAppleの「iPhone 17」や「WhatsApp」への挑戦は含まれていなかった。