En Pwn2Own Ireland, la competición de seguridad gestionada por Trend Micro’s Zero Day Initiative (ZDI), tres equipos lograron comprometer de forma remota un Google Pixel 10 en demostraciones realizadas el 8 de octubre. El certamen exige que los dispositivos objetivo estén completamente parcheados y recompensa a los investigadores por mostrar exploits funcionales; luego ZDI entrega los detalles a los proveedores para que los corrijan.
Qué se demostró y qué pagó el concurso
Las tres entradas registradas contra el Pixel 10 fueron calificadas como exploits remotos, lo que en las reglas del concurso incluye vectores como contenido web abierto en el navegador predeterminado del teléfono o ataques sobre enlaces radio (NFC, Wi‑Fi, Bluetooth o la capa baseband). Para ganar, una prueba debe ejecutar código elegido por el atacante en el teléfono o extraer información sensible del mismo.
Ikotas Labs obtuvo el premio completo de 300.000 dólares y fue declarado vencedor absoluto del evento. Otra de las entradas, de Xint, inicialmente se anunció pendiente de confirmación y finalmente recibió la mitad del premio listado (150.000 dólares). En total, las tres victorias pagaron 562.500 dólares.
Colisiones y transparencia: qué se sabe y qué no
ZDI publicó los resultados del concurso pero, al menos hasta la mañana del 9 de octubre, no había publicado los detalles técnicos de cómo funcionan los tres exploits contra el Pixel 10. En la lista de resultados, al menos dos de las tres entradas aparecen etiquetadas como «collision» (colisión), término que ZDI usa cuando una prueba emplea una vulnerabilidad ya conocida antes del intento. Las colisiones pueden aceptarse pero suelen recibir un premio menor.
El organizador no ha aclarado por qué a Ikotas Labs se le abonó el premio íntegro pese a que su entrada también figura como colisión en los resultados publicados.
Impacto para administradores y propietarios de webs
Aunque las demostraciones fueron en teléfonos de concurso, el hecho de que tres equipos consiguieran comprometer un Pixel 10 parcheado subraya que los ataques remotos sobre móviles siguen siendo posibles y que la cadena de explotación puede incluir componentes ya conocidos pero aún sin parcheo efectivo. Google publicó su boletín de seguridad para Pixel el 6 de octubre, dos días antes de las demostraciones, y ese aviso no menciona el concurso ni indica medidas adicionales para los usuarios relacionadas con estos exploits.
Para administradores de sistemas, desarrolladores web y propietarios de sitios que dependan de tráfico móvil, la recomendación práctica es mantener los dispositivos y los componentes de la pila (navegadores, bibliotecas utilizadas por aplicaciones web, y servicios de red) actualizados, vigilar los boletines oficiales de seguridad de los fabricantes y estar preparados para aplicar parches rápidos cuando ZDI o el proveedor publiquen los detalles técnicos. ZDI entrega las vulnerabilidades a los proveedores y, según sus procedimientos, publica los write‑ups completos tras un plazo (90 días u otro que el organizador comunique), lo que permitirá analizar los vectores exactos y tomar medidas específicas.
Contexto del concurso y resultados generales
Pwn2Own Ireland registró un alto ratio de éxito en las tentativas programadas: 51 de 63 intentos previstos tuvieron éxito y todos los productos incluidos en el cronograma fueron explotados al menos una vez. Además del Pixel 10 y del Galaxy S26 (afectado en múltiples intentos), los equipos también demostraron exploits contra impresoras de varias marcas, dispositivos de domótica y wearables.
Hasta que ZDI o Google publiquen los detalles técnicos y las correcciones concretas relacionadas con estas entradas, la única acción directa para administradores y responsables de seguridad es verificar la instalación de las últimas actualizaciones oficiales en los dispositivos Pixel y en las infraestructuras que dependan de clientes móviles, y preparar procedimientos de respuesta para aplicar parches rápidamente cuando se publiquen las mitigaciones.
Lee también:
- Cambio de la clave de confianza raíz DNS programado para el 11 de octubre: qué significa para administradores web
- EE. UU. incauta siete dominios ligados a presunta operación de ciberespionaje china
Fuente: The Hacker News
