Pixel 10、Pwn2Own Irelandで3度ハッキング　パッチ適用済みでも突破される

スマートフォンを最新の状態に保つだけでは、研究者によるGoogleのPixel 10へのハッキングを防げませんでした。Pwn2Own Irelandでは、3つの異なるチームが、完全にパッチを適用した同端末へのリモート攻撃を10月8日に成功させています。

実演で使われた脆弱性はそれぞれ異なり、ゼロデイ脆弱性のほか、大会主催者やベンダーがすでに把握していた脆弱性も含まれていました。攻撃は管理された環境下で行われたものですが、既存のセキュリティ更新プログラムでは対処できていない弱点が明らかになりました。 

業務メールやクラウドアプリケーション、認証サービスへのアクセスにAndroidスマートフォンを利用している組織にとって、今回の結果は、モバイルセキュリティには定期的なパッチ適用だけでは不十分であることを示しています。

3チームがPixel 10のハッキングで計56万2,500ドルを獲得

アイルランドのコークで開催された大会では、Trend Micro傘下のZero Day Initiative（ZDI）が、Pixel 10に対する3件のリモートエクスプロイトの成功を確認しました。ZDIが10月8日に公表した結果は次のとおりです。

Ikotas Labsは30万ドルの賞金を獲得し、総合優勝にあたる「Master of Pwn」の称号も手にしました。Pixelに対する3件の実演はいずれもバグの衝突を伴っており、3番目のチームはゼロデイ脆弱性も併用しました。ただし、今回の結果は、研究者が3件の完全な新規脆弱性を発見したことを意味するものではありません。

エクスプロイトから見える既存パッチの限界

バグの衝突とは、エクスプロイトが主催者やベンダーにすでに知られている脆弱性と重複していることを指します。修正が提供されていたとは限りません。 大会ルールでは、対象端末に最新かつ完全にパッチを適用したOSを搭載することが求められ、リモート攻撃はデフォルトブラウザ経由のWebコンテンツ、またはNFC、Wi-Fi、Bluetooth、ベースバンド通信を通じて行うことが認められています。ZDIの結果にはPixelの各チームが用いた手法が示されていないため、「リモート」という表現をゼロクリック攻撃の確認と解釈すべきではありません。

Googleは 10月分のPixelアップデートバルテンを、実演の2日前にあたる10月6日に公開しました。ZDIの3日目の結果には、影響を受けるコンポーネントやCVE、関連する修正は記載されていません。成功した研究者は、影響を受けるベンダーへ開示するため、エクスプロイトと技術文書をZDIに提出する必要があります。今回の実演は、犯罪者が同じエクスプロイトをPixel 10のユーザーに対して使っていることを裏付けるものではありません。

パッチ公開までにセキュリティチームが確認すべき点

業務用スマートフォンは、社内メールや有効なクラウドセッション、認証情報へのアクセス手段になり得ます。 COE Securityは、端末が侵害された場合の影響は、端末そのものだけでなく、その端末が持つ権限とアクセス可能なサービスによって左右されると指摘しています。

Pixel 10のエクスプロイトの技術的詳細はまだ明らかにされておらず、研究者が使った具体的な弱点について、組織が得られる情報は限られています。それでもセキュリティチームは、次の3つの実践的な対策に注力することで、モバイル環境の防御を強化できます。

• 端末のセキュリティを見直す。会社支給端末と私物端末（BYOD）を棚卸しし、更新状況を確認したうえで、モバイルデバイス管理（MDM）の要件を徹底する。
• 機密性の高いアクセスを制限する。条件付きアクセスと最小権限のポリシーを導入し、端末が侵害された場合に業務セッションを失効できるようにしておく。
• 脆弱性の開示に備える。GoogleとZDIのアドバイザリを注視し、影響を受けた端末を隔離して、修正が提供され次第展開する手順を整えておく。

これらの対策は一般的なセキュリティ上の予防措置であり、今回の大会で使われた個別のエクスプロイトに対する緩和策として確認されたものではありません。Android端末を管理する組織にとっての教訓は、パッチ適用と、業務アクセスの管理を組み合わせることです。更新済みの端末であっても、デバイスポリシーやアクセス制限、インシデント対応手順の対象とすべきです。こうした統制により、管理者は今後の脆弱性開示や修正の確認を進めながら、潜在的なリスクを封じ込める選択肢を確保できます。

関連記事：Pwn2Own Irelandで標的となったAndroidのフラッグシップ機はPixel 10だけではありませんでした。 SamsungのGalaxy S26は、同じ大会で7回ハッキングされており、既知の脆弱性とセキュリティ更新の限界について、同様の懸念が浮上しています。