Google Pixel 10: Drei Teams hacken das vollständig gepatchte Smartphone

Beim Sicherheitswettbewerb Pwn2Own Ireland in Cork ist es am 8. Oktober 2026 drei unabhängigen Forschungsteams gelungen, ein vollständig gepatchtes Google Pixel 10 aus der Ferne erfolgreich anzugreifen.

Die Zero Day Initiative (ZDI) bestätigte die drei erfolgreichen Remote-Exploits gegen das Smartphone-Modell. Google hatte das reguläre Pixel-Sicherheitsbulletin für Oktober erst am 6. Oktober 2026 und damit zwei Tage vor den Demonstrationen freigegeben.

Hohe Preisgelder für erfolgreiche Angriffsketten

Den größten Einzelerfolg gegen das Smartphone erzielte das Team Ikotas Labs. Die Forscher sicherten sich ein Preisgeld von 300.000 US-Dollar für die Verkettung mehrerer Schwachstellen gegen das Google Pixel 10. Mit diesem Exploit und weiteren Erfolgen erzielte Ikotas Labs über die gesamte Veranstaltung hinweg Einnahmen von 361.000 US-Dollar. Die Gruppe gewann zudem die Gesamtwertung des Wettbewerbs und ist damit das erste japanische Team, das den Titel des Master of Pwn erringen konnte.

Den zweiten Platz belegte das Team Xint, bestehend aus Tim Becker und Yves Bieri. Sie erhielten für die demonstration eines Remote-Exploits gegen das Pixel 10 über eine einzelne Bug-Kollision eine Prämie von 150.000 US-Dollar. Ein weiteres Forscherteam, bestehend aus Dimitrios Valsamaras, Ken Gannon und Tenia Valsamara, erhielt 112.500 US-Dollar für eine Zwei-Bug-Kette, die sich aus einer Kollision und einem Zero-Day zusammensetzte.

Alle drei Vorführungen gegen das Smartphone betrafen sogenannte Bug-Kollisionen, bei denen die ausgenutzten Schwachstellen bereits intern oder anderen Forschern bekannt waren. Lediglich das dritte Team setzte zusätzlich eine zuvor gänzlich unbekannte Zero-Day-Lücke ein. Die ZDI nannte zunächst keine spezifischen betroffenen Komponenten, CVE-Kennungen oder verfügbare Korrekturen für das Gerät.

Wer sich mit der Sicherheit moderner Mobilgeräte befasst, sollte über die grundlegenden Schutzvorkehrungen hinausgehen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Mehr als 1,2 Millionen US-Dollar für 98 Zero-Day-Lücken

Der dreitägige Wettbewerb wurde von TrendAI ausgerichtet. Insgesamt schüttete das Unternehmen 1.262.000 US-Dollar für 98 einzigartige Zero-Day-Schwachstellen aus. Das Spektrum der geprüften Kategorien reichte von Mobiltelefonen, Smart-Home-Geräten, Wellness-Produkten und Druckern über Messaging-Dienste bis hin zu KI-Infrastruktur sowie KI-Coding-Agenten.

Den Aufzeichnungen der ZDI und Berichten von BleepingComputer zufolge verteilten sich die Entdeckungen wie folgt auf die Veranstaltungstage: Am ersten Tag wurden 32 Zero-Days demonstriert und 388.500 US-Dollar ausgezahlt. Am zweiten Tag folgten 45 Zero-Days mit Prämien von 232.500 US-Dollar. Am dritten Tag kamen bei 21 Zero-Days weitere 641.000 US-Dollar an Preisgeldern zusammen.

Angesichts immer komplexerer Angriffsszenarien auf mobile Betriebssysteme gewinnen regelmäßige Sicherheitsvorkehrungen massiv an Bedeutung. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie Sicherheitslücken schließen und Ihr Gerät durch die richtige Konfiguration vor Malware schützen. Kostenlosen Sicherheits-Ratgeber herunterladen

Nach den Richtlinien der ZDI gilt grundsätzlich ein Standardfenster von 120 Tagen ab Benachrichtigung der jeweiligen Hersteller, um Sicherheitslücken zu beheben; bei fehlerhaften Fehlerbehebungen greifen Fristen von 30, 60 oder 90 Tagen. Für die im Rahmen des Pwn2Own Ireland gemeldeten Zero-Days nannte BleepingComputer eine Offenlegungsfrist von 90 Tagen.

Dustin Childs, Head of Threat Awareness bei TrendAI ZDI, erklärte hierzu, dass die frühzeitige Kenntnis der Schwachstellen dazu beitrage, TrendAI-Kunden mittels virtuellem Patching abzusichern. Nach Unternehmensangaben sind Anwender von TrendAI Vision One durch diesen koordinierten Offenlegungsprozess im Schnitt 115 Tage früher geschützt als der restliche Markt. Die nächste Ausgabe des Pwn2Own-Wettbewerbs wird für Anfang 2027 erwartet.