Op Pwn2Own Ireland in Cork hebben onderzoekers laten zien dat remote hacks Pixel 10 mogelijk blijven, zelfs wanneer deelnemers alleen mogen inzetten op volledig gepatchte doelwitten. Op 8 oktober braken drie teams in op Google’s Pixel 10 en verzamelden ze prijspunten met werkende aanvallen die op contest-toestellen werden gedemonstreerd.
Wat vooral opvalt: de winnende demonstraties waren remote exploits—dus zonder fysieke toegang—via routes zoals de standaardbrowser of verschillende draadloze verbindingen. In dit artikel lees je wat er tijdens de contest gebeurde, hoe het proces rond patches en publicatie werkt, en welke praktische aandachtspunten je hieruit kunt halen.
Waarom Pwn2Own Ireland vooral draait om gepatchte targets
De regels van Pwn2Own Ireland schrijven voor dat elk target volledig gepatcht is voordat een team een poging kan doen. Dat maakt de uitdaging zwaarder: het is niet genoeg om een bekende zwakte te vinden, je moet aantonen dat er ondanks de patchstatus nog steeds een aanvalskans bestaat.
De organisatie achter Pwn2Own is de Zero Day Initiative (ZDI), die onderzoekers beloont als ze werkende exploits kunnen demonstreren. Na afloop worden de bevindingen volgens het vaste traject gedeeld met de betrokken vendor(s), zodat die tijd krijgen om correcties uit te brengen.
Drie teams, drie Pixel 10-winnaars: de highlights
In totaal kwamen er drie succesvolle overwinningen op de Pixel 10 tijdens het contestverloop. Eén van de teams—Ikotas Labs—ging er met de topprijs vandoor en kreeg $300.000. Daarmee werd het team uiteindelijk ook de overall winner.
De prijsverdeling en volgorde van de Pixel 10-entries in het overzicht:
- Xint als eerste: aangekondigd voor de helft van de initieel genoemde bedragen, uiteindelijk $150.000 en 15 punten.
- Ikotas Labs als tweede: $300.000 en 30 punten. In de resultaten wordt deze entry tevens gelabeld als een collision, zonder dat daar in de publicatie extra uitleg bij stond.
- Een derde Pixel 10-winst, eveneens als remote entry geregistreerd, waarbij de precieze route en impact op het toestel niet volledig is uitgewerkt in de openbare resultaten.
Belangrijk om te weten: de contest werkte met eenzelfde prijsvork—$300.000 en 30 punten—waar drie teams voor concurreerden. Tegelijk waren er labels zoals collision voor inzetten die (mogelijk) voortbouwen op een bug die al eerder bekend was bij de vendor of de organisator.
Wat betekent “remote” in de Pixel 10-entries?
Alle Pixel 10-entries in de resultaten stonden als remote exploits. Dat betekent in de context van Pwn2Own dat de aanvaller het toestel kan compromitteren via webcontent die wordt geopend in de standaardbrowser, of via één van vier radio-achtige routes: NFC, Wi‑Fi, Bluetooth of baseband.
Voor een winnende entry geldt bovendien een inhoudelijke eis: de aanval moet ofwel code uitvoeren naar keuze op de telefoon, ofwel gevoelige informatie uit het toestel kunnen ophalen. In de openbare beschrijving bleef echter grotendeels verborgen welke exacte route elk team gebruikte en wat de exploit technisch precies deed op de Pixel 10.
Niet alles lukte: drie remote pogingen succesvol, één liep vast
Van de remote pogingen op de Pixel 10 gingen er drie van de vier door tot succes. Eén poging, uitgevoerd op de eerste dag van de contest, liep op tijd vast—een klassieke limitatie in dit soort live demonstraties: zelfs met een werkende kwetsbaarheid moet de aanval binnen het tijdvenster uitgevoerd en overtuigend getoond worden.
Ook dat is relevant voor organisaties: beveiliging is niet alleen “patch aanwezig of niet”, maar ook “patch doet wat het moet” onder realistische aanvalsroutes.
“Collision” en de impact op prijs en beoordeling
Pwn2Own hanteert een strikte regel: entries mogen niet steunen op bugs die al bekend zijn bij de vendor of bij de organizer. Toch kunnen entries worden geaccepteerd als er sprake is van een collision—een situatie waarin een bug al bekend was, maar de route of status binnen het contestkader nog niet volledig samenvalt met wat je zou verwachten.
Dat verklaart waarom er in de resultaten soms wel een volledige beloning wordt toegekend, terwijl er tegelijkertijd een collision-label verschijnt. In de openbare publicatie werd die mismatch niet verder uitgelegd, maar de kern blijft: bekendheid en patchstatus bepalen in welke mate een vondst “nieuw” wordt beschouwd binnen het ZDI-systeem.
Wat gebeurt er na de contest? Vendor patches en latere technische publicatie
Na het winnen dragen teams hun exploit en documentatie over aan ZDI. Vervolgens krijgen de vendors volgens het beschreven proces 90 dagen om patches uit te brengen. Pas daarna—volgens de informatie uit de Trend Micro-omgeving waarnaar wordt verwezen—publiceert ZDI de volledige technische details.
Voor Pixel-bezitters kwam er bovendien nog een extra contextlaag. De Pixel bulletin van oktober werd gepubliceerd op 6 oktober, dus twee dagen vóór de remote exploits op 8 oktober werden gedemonstreerd. In de samenvatting van de contestresultaten stond ook dat er geen stap of fixadvies specifiek voor Pixel owners was opgenomen.
Met andere woorden: de contest laat zien dat er risico kan blijven bestaan, maar de technische details (en soms de fix-informatie) volgen later via het ZDI-traject.
Meer dan Pixel: ook Galaxy S26 en andere targets
Naast de Pixel 10 werd tijdens de contest ook de Samsung Galaxy S26 uitgebreid getest. In zeven pogingen werd het toestel in alle gevallen geraakt. Daarbij bevatte een groot deel van de winnende entries ten minste één collision. ZDI gaf bovendien aan dat één bug in de chain die Ikotas Labs op de eerste dag gebruikte, al bekend was bij de vendor maar nog niet gepatcht was op het moment van de poging.
Daarbovenop richtten onderzoekers zich op meerdere andere doelen. Zo werd er onder meer geprobeerd op printers (Lexmark, Canon en Brother), smart home apparaten (Sonos Era 300, Philips Hue Bridge Pro en Home Assistant Green) en een Garmin wellness device (Garmin Index BPM).
In totaal stonden er volgens de gepubliceerde cijfers 63 geplande pogingen op de agenda, waarvan 51 pogingen succesvol waren. Elke geplande productcategorie werd ten minste één keer geëxploiteerd.
Android-risico’s en “bewezen remote routes”: de praktische les
Wat kun je als organisatie of security team concreet meenemen van deze resultaten? Ten eerste: remote attack paths via webcontent of draadloze interfaces blijven een reële ingang, zelfs wanneer targetapparaten “up to date” zijn volgens de contestregels.
Ten tweede: patchmanagement gaat niet alleen over het installeren van updates, maar ook over het volgen van vendor-bulletins en het monitoren van latere advisories rondom 0‑day/near‑0‑day bevindingen. Omdat ZDI pas na de vendor-termijn volledige technische details publiceert, kan er tijd zitten tussen “contestdemonstratie” en “inhoudelijke technische fixinformatie”.
Ten derde: de contest laat ook zien dat bekendheid en collision-status invloed kunnen hebben op beloning—maar niet per se op de impact voor eindgebruikers. Een bug die “al bekend” is, kan alsnog gevaarlijk zijn als de patch (nog) ontbreekt of als de aanvalsvector nieuw is.
Gerelateerde berichtgeving op ITwaarschuwing
Wil je meer context over hoe exploit-demonstraties zich vertalen naar concrete beveiligingslessen en patchadviezen? Dan zijn deze artikelen relevant:
- Citrix waarschuwt voor NetScaler kwetsbaarheid: patch nu
- SonicWall patches: SSRF met CVSS 10 vóór login
- Agentic pentesting: wat het bewijst en wat niet
Conclusie: remote hacks Pixel 10 maken patchstatus niet automatisch “veilig”
De Pwn2Own Ireland-resultaten tonen dat remote hacks Pixel 10 ook kunnen slagen wanneer targets vooraf gepatcht zijn binnen het contestkader. Drie teams demonstreerden succesvolle compromissen via remote routes, met prijzen die aantonen dat de industrie waarde hecht aan werkende exploits én aan het doorgeven van bevindingen aan vendors.
Voor defenders blijft de kern: houd patchmanagement strak, volg vendorbulletins en advisories, en behandel remote attack surfaces (web en draadloze interfaces) als volwaardige prioriteit. Pas wanneer de ZDI-publicatieronde en de bijbehorende fixes hun weg vinden, wordt de technische puzzel compleet.
Bron: https://thehackernews.com/2026/10/three-teams-demonstrate-remote-hacks-of.html
