La dernière journée de Pwn2Own Ireland, le 8 octobre, a livré de nouvelles démonstrations contre le Google Pixel 10 et le Samsung Galaxy S26. Ikotas Labs a remporté le titre de Master of Pwn après une chaîne d’exploitation visant le Pixel. Ces résultats sont ceux d’un concours encadré : ils ne démontrent pas l’existence d’une campagne criminelle utilisant les mêmes failles.
Le Pixel 10 au cœur de plusieurs démonstrations
Ikotas Labs a obtenu 300 000 dollars et trente points pour son exploitation du Pixel 10, prenant la tête du classement. L’équipe Xint a également réussi une démonstration à distance contre le téléphone, récompensée de 150 000 dollars. Une troisième équipe réunissant des chercheurs de Mobile Hacking Lab et de CENSUS Labs a reçu 112 500 dollars pour une chaîne de deux failles.
Le Galaxy S26 a, lui aussi, été compromis à distance par BunkyoWesterns. Le résultat publié mentionne une chaîne de deux vulnérabilités, dont une nouvelle et une déjà rencontrée dans le processus du concours.
Les organisateurs distinguent en effet les failles uniques et les collisions, lorsque des travaux se recoupent. Plusieurs démonstrations réussies contre un même appareil ne doivent donc pas être additionnées comme autant de vulnérabilités entièrement nouvelles. Les montants versés tiennent également compte du règlement et du déroulement des tentatives.
Ce palmarès ne permet pas de classer directement les marques selon leur niveau général de sécurité. Les cibles, les catégories, les primes et les choix des chercheurs influencent les résultats. Un produit absent d’une liste de succès n’a pas nécessairement résisté à une batterie de tests comparable.
Ce que signifie réellement une attaque à distance
Le règlement mobile autorise plusieurs voies pour la catégorie à distance : du contenu ouvert dans le navigateur par défaut, ou des communications par NFC, Wi-Fi, Bluetooth et réseau cellulaire. Le mot « à distance » ne signifie donc pas automatiquement « sans aucun clic », ni « depuis n’importe quel endroit sur Internet ».
La catégorie USB suit des conditions différentes. Elle vise le port accessible à l’utilisateur, sans démontage, avec le téléphone verrouillé au début de la tentative. Une réussite doit permettre une exécution de code arbitraire ou un déverrouillage donnant un accès non restreint. Il ne faut pas mélanger ces scénarios avec ceux des démonstrations radio ou navigateur.
Une chaîne d’exploitation associe plusieurs faiblesses pour atteindre un résultat. Une première peut ouvrir un accès limité ; une autre peut permettre de franchir une barrière supplémentaire. Le nombre de bugs ne décrit donc pas à lui seul la gravité de l’attaque : les droits obtenus et les conditions nécessaires comptent également.
Le concours couvre aussi la domotique, les imprimantes, les infrastructures d’IA et les agents de programmation. Cette diversité rappelle qu’une surface d’attaque ne se limite pas au téléphone : un équipement du réseau ou un logiciel disposant de droits étendus peut aussi devenir une cible.
Des résultats publics, puis un travail de correction
L’intérêt de ces compétitions repose sur le transfert des découvertes aux fabricants. Le programme Zero Day Initiative explique qu’il valide les vulnérabilités, documente les éléments permettant de les reproduire, puis les transmet de façon privée aux fournisseurs concernés. Cette coordination doit leur permettre d’en comprendre la cause et de préparer une correction.
L’annonce d’un succès et la disponibilité d’un correctif sont deux étapes distinctes. Les résultats du 8 octobre ne donnent pas de calendrier complet de mise à jour pour chaque appareil. Il serait donc prématuré de présenter une version logicielle précise comme réparant toutes les failles démontrées cette semaine.
Nous avons déjà évoqué ce passage de la recherche aux correctifs avec les mises à jour de sécurité de Windows, dont certaines corrigeaient des vulnérabilités montrées à Pwn2Own. Pour les utilisateurs des produits concernés, les futurs bulletins des fabricants permettront de relier les découvertes aux versions effectivement corrigées.
La politique générale de ZDI prévoit une fenêtre standard de coordination de 120 jours. Elle comporte des délais différents pour certaines corrections incomplètes et des possibilités de divulgation limitée en cas d’absence de réponse du fournisseur ; ce délai général n’est pas une promesse de date pour les mises à jour de ce concours.
