Trois équipes dévoilent exploits à distance sur Google Pixel 10 entièrement corrigé

Contexte de la démonstration

Lors du concours Pwn2Own 2026, trois équipes distinctes ont présenté des attaques à distance contre le Google Pixel 10, un smartphone commercialisé avec le processeur Tensor de Google et livré sous Android 14. Le dispositif était déclaré « fully patched », c’est‑à‑dire à jour avec les correctifs de sécurité publiés par Google au moment de la compétition. Le fait que les équipes aient pu compromettre un appareil dans cet état indique la présence de vulnérabilités non divulguées au public.

Méthodologie des équipes

Les rapports de l’événement précisent que chaque groupe a exploité un vecteur d’accès distant, sans interaction physique avec le téléphone. Aucun détail technique n’a été rendu public, mais la contrainte de distance implique l’utilisation de protocoles réseau exposés (Wi‑Fi, Bluetooth ou services de localisation). La réussite d’une attaque à distance sur un appareil entièrement mis à jour nécessite généralement une chaîne d’exploitation comportant plusieurs étapes : contournement du sandbox Android, élévation de privilèges via une faille du noyau ou du firmware, puis persistance au niveau du matériel sécurisé.

Implications pour la sécurité des appareils Android

Cette démonstration rappelle que le modèle de mise à jour rapide de Google ne garantit pas l’absence de failles zéro‑day. Le Pixel 10 intègre des mécanismes de protection tels que le Verified Boot, le Trusted Execution Environment (TEE) et le chiffrement matériel du stockage. La capacité d’un attaquant à franchir ces barrières suggère que les vulnérabilités exploitées se situent probablement en amont du TEE ou dans le code du noyau qui interagit directement avec le matériel. En pratique, cela signifie que les utilisateurs ne peuvent pas se fier uniquement à la mise à jour du système d’exploitation pour assurer la sécurité contre des attaques ciblées.

Limites de l’information disponible

Le communiqué officiel ne fournit pas de description précise des failles, ni de références CVE ou de versions de correctifs spécifiques. En l’absence de ces données, l’analyse reste théorique et se base sur les caractéristiques connues du Pixel 10 et sur les exigences générales d’une exploitation à distance. Les équipes n’ont pas publié de code source ou de démonstrations détaillées, ce qui empêche une validation indépendante des vecteurs d’attaque. Les lecteurs doivent donc considérer que les conclusions tirées ici reposent sur les informations limitées communiquées par les organisateurs de Pwn2Own.