ב-11:15 בבוקר של 8 באוקטובר עלה Pixel 10 לשולחן באולם בקורק שבאירלנד, עם כל עדכוני האבטחה שגוגל הוציאה עד אותו שבוע. שני חוקרים מצוות Xint, Tim Becker ו-Yves Bieri, פרצו אותו מרחוק. אף אחד לא נגע במכשיר ואף אחד לא התקין עליו כלום. הם סיימו, קיבלו 150 אלף דולר, והטלפון הבא עלה לשולחן.

מה קרה

Pwn2Own היא תחרות פריצה שמפעילה Trend Micro דרך יחידת המחקר שלה ZDI, וכל מכשיר שעולה בה חייב להיות מעודכן לגמרי לפני שהצוותים נוגעים בו. בקטגוריה שבה שובץ ה-Pixel אסור לתוקף להסתמך על משהו שהקורבן עושה: המטען צריך להגיע דרך תוכן שהדפדפן טוען, דרך NFC, Wi-Fi ו-Bluetooth או דרך המודם הסלולרי, ולהריץ קוד או לשלוף מידע רגיש משם. בתחרות קוראים לזה remote.

ביום ההוא שלושה צוותים עשו את זה לאותו דגם. Xint בבוקר, Ikotas Labs בשתיים אחר הצהריים עם שרשרת של כמה חולשות ופרס של 300 אלף דולר שגם הקנה לה את תואר Master of Pwn, ובשש וחצי בערב Dimitrios Valsamaras, Ken Gannon ו-Tenia Valsamara עם שרשרת של שתי חולשות, אחת מהן חדשה לגמרי, ב-112,500 דולר. שלושת הניסיונות הצליחו.

חלק מהכסף לא שולם, ושווה להבין למה. כשצוות מגיע לחולשה שכבר מוכרת לגוגל או ל-ZDI, בין שמישהו דיווח עליה לפניו ובין שהיא כבר בטיפול, הפרס נחתך. בתחרות קוראים למצב הזה collision, וזה מה שהוריד את Xint מ-300 אלף דולר ל-150. (Ikotas Labs סומנה גם היא כ-collision וקיבלה בכל זאת את הסכום המלא, בלי שההודעה של ZDI הסבירה למה.) מכאן ולהבא זה כבר לא עניין של התחרות: ליצרן יש 90 יום לתקן לפני שה-ZDI מפרסמת את הפרטים הטכניים. עדכון האבטחה של אוקטובר ל-Pixel יצא ב-6 בחודש, יומיים לפני אותו בוקר בקורק. מכיוון שהמכשיר על השולחן היה מעודכן, מה שנשבר שם לא תוקן בו.

למה זה חשוב לכם

Pixel אינו הטלפון הנפוץ בישראל, אבל באותו יום נפל גם Galaxy S26, ולפי The Hacker News כל שבעת הניסיונות מול ה-S26 במהלך התחרות הצליחו. אז מה זה אומר על הטלפון שבכיס שלכם? קודם כול, מה שזה לא אומר: תחרות היא מעבדה, לצוותים היו חודשים והמכשיר בידיים, ואין שום אינדיקציה שהחולשות האלה משמשות נגד אנשים רגילים. מה שזה כן אומר הוא שטלפון מעודכן לחלוטין הוא רצפה, לא מגן, ושהדבר היחיד שסוגר את הפערים האלה הוא העדכון החודשי ברגע שהוא יוצא.

מה עושים?

בדקו מתי המכשיר עודכן בפעם האחרונה: הגדרות, אבטחה ופרטיות, עדכוני מערכת. אם התאריך שמופיע תחת "עדכון אבטחה" מוקדם מהחודש הנוכחי, התקינו עכשיו.

השאירו עדכון אוטומטי דלוק גם לאפליקציות בחנות Play. הדפדפן הוא אחד הנתיבים שבהם מטען כזה מגיע למכשיר, ו-Chrome מתעדכן כאפליקציה ולא עם המערכת.

אל תדחו את ההודעה שמבקשת לאתחל כדי להשלים עדכון. עדכון שהורד ולא הותקן לא מגן על כלום.

ודאו ש-Play Protect פעיל: חנות Play, תמונת הפרופיל, Play Protect.

הפרס הראשון באותו בוקר היה אמור להיות 300 אלף דולר. הוא נחתך לחצי כי מישהו הגיע לאותה חולשה לפני Xint, ו-ZDI לא אמרה מי ולא אם היא תוקנה.