Pwn2Own'da Üç Ekip Tam Yamalı Google Pixel 10'u Uzaktan Ele Geçirdi

8 Ekim'de İrlanda'nın Cork şehrinde düzenlenen Pwn2Own yarışmasında üç farklı güvenlik araştırma ekibi, tam yamalı Google Pixel 10 telefonlarına uzaktan erişim sağlamayı başardı. Trend Micro'nun Zero Day Initiative (ZDI) birimi tarafından organize edilen yarışma, katılımcıların yalnızca tam güncel yazılım sürümü yüklü cihazları hedef almasını zorunlu kılıyor. Başarılı denemeler karşılığında ödenen toplam para 562.500 dolara ulaştı.

Yarışmanın Kuralları ve Ödül Yapısı​

Pwn2Own'ın kurallarına göre her katılımcı, cihaz üreticisi ya da yarışma organizatörü tarafından daha önce bilinmeyen açıklardan yararlanmak zorunda. Bununla birlikte, daha önce keşfedilmiş ancak kamuoyuyla paylaşılmamış bir açık kullanıldığında bu durum "çakışma" (collision) olarak sınıflandırılıyor ve ödül düşürülebiliyor. Pixel 10'a yönelik üç girişimin en az ikisinde daha önce bilinen bir açık kullanıldığı ZDI'ın sonuç listesinden anlaşılıyor.
Yarışmada "uzaktan istismar" olarak kayıt yaptırılan girişimler için belirli bir kural seti geçerli: Telefona sızış, varsayılan tarayıcıda açılan web içeriği ya da NFC, Wi-Fi, Bluetooth veya baz bant radyo bağlantılarından biri üzerinden gerçekleşmeli. Başarılı bir girişim, saldırganın seçtiği kodun telefonda çalıştırılmasını ya da hassas verilerin elde edilmesini kapsamalı. Her üç Pixel 10 girişimi de bu kategoride değerlendirildi; ancak hangi yöntemin kullanıldığı ve telefonlarda tam olarak ne yapıldığı henüz kamuoyuyla paylaşılmadı.

Üç Ekibin Sonuçları​

Sıralamaya göre ilk girişimi gerçekleştiren Xint ekibi (Tim Becker ve Yves Bieri), tek bir çakışma açığı kullandı. Ekip önce tam ödüle hak kazanıp kazanmadığı belirsizken sonradan 150.000 dolar ve 15 puanla ödüllendirildi; bu miktar listelenen ödülün yarısına karşılık geliyor.
İkinci sıraya giren Ikotas Labs, birden fazla açığı birbirine zincirleyerek saldırısını gerçekleştirdi. ZDI'ın sonuç listesinde bu girişim de çakışma olarak etiketlendi; ancak ekip, herhangi bir açıklama yapılmaksızın tam ödül olan 300.000 dolar ve 30 puana layık görüldü. Bu ödül yarışmanın en yüksek bireysel ödülü oldu ve Ikotas Labs'ı genel sıralamada lider konuma taşıdı.
Üçüncü girişimi Dimitrios Valsamaras, Ken Gannon ve Tenia Valsamara'dan oluşan ekip yaptı. Ekip, biri çakışma biri sıfır gün olmak üzere iki açıktan oluşan bir zincir kullandı ve 112.500 dolar ile 22,5 puan kazandı.
Pixel 10'a yönelik dört uzaktan denemenin üçü başarıyla sonuçlandı. Dördüncü deneme, yarışmanın ilk gününde süre dolduğu için tamamlanamadı.

Açıklar Şimdilik Gizli, Satıcıya 90 Gün Süre Tanınıyor​

ZDI, 9 Ekim itibarıyla üç istismarın teknik ayrıntılarını yayımlamadı. Yarışma kurallarına göre kazanan ekipler, kullandıkları açıkları ve teknik yazılı analizlerini ZDI'a teslim etmek zorunda. ZDI bu bilgileri ilgili üreticilere iletir; üreticilerin yamayı yayımlaması için 90 günlük bir süre tanınır, bu süre dolmadan teknik detaylar kamuoyuyla paylaşılmaz. Google'ın Ekim ayı Pixel güvenlik bülteni 6 Ekim'de, yani Pixel 10 istismarlarının gösterilmesinden iki gün önce yayımlandı ve yarışmadan söz etmiyor. ZDI'ın sonuç listesinde Pixel sahipleri için herhangi bir düzeltme veya yapılması gereken işlem belirtilmiyor.

Samsung Galaxy S26 ve Diğer Sonuçlar​

Yarışmada Samsung Galaxy S26'ya yönelik yapılan yedi denemenin tamamı başarıyla sonuçlandı. Bu yedi girişimin altısında en az bir çakışma açığı kullanıldı. ZDI, Ikotas Labs'ın ilk günde Galaxy S26'ya karşı kullandığı zincirdeki bir açığın girişim sırasında üretici tarafından zaten bilindiğini ancak henüz yamalanmadığını belirtti.
Ikotas Labs aynı zamanda OpenAI'ın Codex kodlama ajanını ve ikinci günde Oracle'ın Autonomous AI Veritabanı'nı da başarıyla istismar etti. Ekibin dört galibiyetinin toplam değeri ZDI'ın yayımladığı sonuçlara göre 361.000 dolar ve 42,5 puana ulaştı. ZDI, en yüksek puana sahip yarışmacıya verilen "Master of Pwn" unvanını Ikotas Labs'a verdi.
Araştırmacılar ayrıca Lexmark, Canon ve Brother yazıcılarını; Sonos Era 300, Philips Hue Bridge Pro ve Home Assistant Green olmak üzere üç akıllı ev cihazını; sağlık takip cihazı Garmin Index BPM'i de ele geçirdi. Programda yer alan her ürün en az bir kez istismar edildi; 63 planlı denemeden 51'i başarıyla tamamlandı. Apple'ın iPhone 17 ve WhatsApp, her biri 300.000 dolarlık en yüksek ödülle programda yer almasına rağmen hiçbir deneme kayıt yaptırılmadı. ZDI'ın üç gün için yayımladığı toplam ödül 1,2 milyon doların üzerinde olup bu rakam, geçen yılki İrlanda yarışmasında dağıtılan 1.024.750 doların üstünde.

Google'ın Ayrı Bir Modem Açığı Yaması​

Yarışmadan bağımsız olarak Google, Eylül ayında CVE-2026-58704 olarak tanımlanan bir Pixel modem açığını yamadı. Google bu açığın "sınırlı ve hedefli saldırılarda kullanılıyor olabileceğini" belirtti. 2026-09-05 veya sonraki yama düzeyine sahip Pixel telefonlar bu düzeltmeyi içeriyor.

Sıkça Sorulan Sorular​

Pwn2Own yarışmasında "çakışma" (collision) ne anlama geliyor?​

ZDI'ın terminolojisine göre çakışma, bir girişimde kullanılan açığın daha önce başka bir katılımcı tarafından ya da organizatör tarafından bilinmesi durumunu ifade ediyor. Çakışma içeren girişimler yine de kabul edilebiliyor; ancak ödül tam miktarın altında kalabiliyor.

Pixel 10'a yapılan saldırılar hangi yöntemlerle gerçekleştirildi?​

Üç girişim de uzaktan istismar olarak sınıflandırıldı. Yarışma kurallarına göre bu, saldırının varsayılan tarayıcıda açılan web içeriği ya da NFC, Wi-Fi, Bluetooth veya baz bant bağlantılarından biri üzerinden yapılması gerektiği anlamına geliyor. Hangi yöntemin kullanıldığı 9 Ekim itibarıyla kamuoyuyla paylaşılmadı.

Pixel 10 kullanıcıları bu açıklara karşı ne yapabilir?​

ZDI'ın yayımladığı sonuç listesinde Pixel sahipleri için herhangi bir düzeltme veya alınması gereken önlem belirtilmiyor. Google'ın Ekim ayı güvenlik bülteni ise yarışmadan iki gün önce yayımlandı ve bu istismarlardan söz etmiyor.

Yarışmada en fazla ödülü hangi ekip kazandı?​

Ikotas Labs, Pixel 10 girişimiyle kazandığı 300.000 dolar dahil dört galibiyetle toplamda 361.000 dolar ve 42,5 puan elde etti. ZDI, ekibe en yüksek puana sahip yarışmacıya verilen "Master of Pwn" unvanını verdi.

Açıkların teknik detayları ne zaman kamuoyuyla paylaşılacak?​

Yarışma kurallarına göre ZDI, açıkları ilgili üreticilere iletir ve üreticilere yamayı yayımlamaları için 90 günlük süre tanır. Bu süre dolmadan teknik ayrıntılar kamuoyuyla paylaşılmaz.