สรุปสั้น
การแข่งขันแฮ็ก Pwn2Own Ireland 2026 ที่เมืองคอร์ก ประเทศไอร์แลนด์ ซึ่งบังคับให้อุปกรณ์เป้าหมายทุกชิ้นต้องแพตช์ครบ มีนักวิจัย 3 ทีมเจาะ Google Pixel 10 จากระยะไกลได้สำเร็จเมื่อวันที่ 8 ตุลาคม 2569 รวมเงินรางวัล 562,500 ดอลลาร์ ทีม Ikotas Labs ได้รางวัลสูงสุดของงานที่ 300,000 ดอลลาร์จากการเจาะ Pixel 10 และคว้าตำแหน่ง Master of Pwn ในฐานะผู้มีคะแนนรวมสูงสุด Zero Day Initiative (ZDI) ของบริษัท Trend Micro ผู้จัดงานประกาศผลแล้ว แต่ ณ วันที่ 9 ตุลาคม ยังไม่เปิดเผยว่าแต่ละทีมเจาะอย่างไร และอย่างน้อย 2 ใน 3 ผลงานใช้บั๊กที่มีผู้รายงานไว้ก่อนแล้ว
นอกจาก Pixel 10 แล้ว Samsung Galaxy S26 ก็ถูกเจาะสำเร็จครบทั้ง 7 ครั้งที่มีผู้ลงแข่ง ทั้งงานมีความพยายามเจาะตามตาราง 63 ครั้ง สำเร็จ 51 ครั้ง ทุกผลิตภัณฑ์ในตารางถูกเจาะได้อย่างน้อย 1 ครั้ง ทั้งเครื่องพิมพ์ อุปกรณ์สมาร์ตโฮม เอเจนต์เขียนโค้ด AI อย่าง Codex ของบริษัท OpenAI และ Oracle Autonomous AI Database รางวัลรวม 3 วันเกิน 1.2 ล้านดอลลาร์ สูงกว่างานปีก่อนที่ 1,024,750 ดอลลาร์ ตามกติกา ช่องโหว่ทั้งหมดจะส่งต่อให้ผู้ผลิต ซึ่งมีเวลา 90 วันออกแพตช์ก่อน ZDI จะเปิดเผยรายละเอียดเทคนิค
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่าผลงานทั้ง 3 ชิ้นบน Pixel 10 ลงทะเบียนเป็นการเจาะจากระยะไกล ตามกติกาหมายถึงการเจาะผ่านเนื้อหาเว็บที่เปิดในเบราว์เซอร์เริ่มต้นของเครื่อง หรือผ่านช่องทางวิทยุ 1 ใน 4 ช่องทาง ได้แก่ NFC, Wi-Fi, Bluetooth หรือ baseband ผลงานที่ชนะต้องรันโค้ดที่ผู้โจมตีเลือกได้หรือดึงข้อมูลอ่อนไหวออกจากเครื่อง แต่ยังไม่มีการเผยว่าแต่ละทีมใช้ช่องทางใดและเจาะได้ถึงระดับไหน ความพยายามเจาะ Pixel 10 จากระยะไกลมีทั้งหมด 4 ครั้ง สำเร็จ 3 ครั้ง อีกครั้งในวันแรกหมดเวลาก่อน
ผลงานทั้ง 3 ทีมเรียงตามลำดับ ได้แก่ ทีม Xint (นาย Tim Becker และนาย Yves Bieri) ที่ ZDI ระบุว่าใช้ “บั๊กชนเดี่ยว” (single bug collision) ได้ 150,000 ดอลลาร์และ 15 คะแนน หรือครึ่งหนึ่งของรางวัลเต็ม ทีม Ikotas Labs ที่ “ร้อยหลายปัญหาเข้าด้วยกัน” ได้รางวัลเต็ม 300,000 ดอลลาร์และ 30 คะแนน แม้ผลงานจะถูกติดป้ายว่า collision เช่นกัน โดย ZDI ไม่ได้อธิบายป้ายนี้หรือเหตุผลที่จ่ายรางวัลเต็ม และทีมของนาย Dimitrios Valsamaras นาย Ken Gannon และนาง Tenia Valsamara ที่ใช้ chain 2 บั๊ก (collision 1 ตัว zero-day 1 ตัว) ได้ 112,500 ดอลลาร์และ 22.5 คะแนน
กติกากำหนดให้ผลงานต้องใช้บั๊กที่ทั้งผู้ผลิตและผู้จัดยังไม่รู้จัก ผลงานที่ใช้บั๊กที่รู้จักแล้ว ซึ่ง ZDI เรียกว่า collision ยังรับได้แต่ได้รางวัลน้อยลง ฝั่ง Galaxy S26 ผลงาน 6 ใน 7 มี collision อย่างน้อย 1 ตัว และ ZDI ระบุว่าบั๊กหนึ่งใน chain ที่ Ikotas Labs ใช้เจาะ Galaxy S26 ในวันแรก “ผู้ผลิตรู้อยู่แล้ว (แต่ยังไม่แพตช์)” Ikotas Labs ยังเจาะ Codex ของ OpenAI และ Oracle Autonomous AI Database ในวันที่สอง รวม 4 ผลงานได้ 361,000 ดอลลาร์และ 42.5 คะแนน
ผลิตภัณฑ์อื่นที่ถูกเจาะได้แก่ เครื่องพิมพ์ Lexmark, Canon และ Brother อุปกรณ์สมาร์ตโฮม Sonos Era 300, Philips Hue Bridge Pro และ Home Assistant Green รวมถึงเครื่องวัดสุขภาพ Garmin Index BPM ส่วนตารางแข่งไม่มีผู้ลงเจาะ iPhone 17 ของบริษัท Apple หรือ WhatsApp ซึ่งต่างตั้งรางวัลสูงสุดไว้ที่ 300,000 ดอลลาร์
รายละเอียดช่องโหว่
| ทีม | คำอธิบายของ ZDI | รางวัล | คะแนน |
|---|---|---|---|
| Xint (Tim Becker, Yves Bieri) | ใช้ single bug collision | 150,000 ดอลลาร์ | 15 |
| Ikotas Labs | ร้อยหลายปัญหาเข้าด้วยกัน (ติดป้าย collision) | 300,000 ดอลลาร์ | 30 |
| Dimitrios Valsamaras, Ken Gannon, Tenia Valsamara | chain 2 บั๊ก: collision 1 + zero-day 1 | 112,500 ดอลลาร์ | 22.5 |
ข้อจำกัดของข้อมูลคือ ยังไม่มีรายละเอียดทางเทคนิคใดเปิดเผยออกมา ไม่ว่าจะเป็นส่วนประกอบที่มีช่องโหว่ ช่องทางที่ใช้เจาะ หรือระดับสิทธิ์ที่ได้ ข้อมูลที่มีจึงบอกได้เพียงว่าโทรศัพท์ที่แพตช์ครบ ณ วันแข่งยังถูกเจาะจากระยะไกลได้ ผลงานทั้งหมดเป็นการสาธิตบนเครื่องสำหรับการแข่ง ไม่ใช่การโจมตีจริง
ประกาศความปลอดภัยของ Pixel ประจำเดือนตุลาคมออกเมื่อ 6 ตุลาคม สองวันก่อนการสาธิต และไม่ได้กล่าวถึงการแข่งขัน ZDI ก็ไม่ได้ระบุแพตช์หรือสิ่งที่ผู้ใช้ Pixel ควรทำ แยกจากกรณีนี้ Google แพตช์ช่องโหว่โมเด็ม Pixel CVE-2026-58704 ในเดือนกันยายน ซึ่ง Google ระบุว่า “อาจถูกใช้โจมตีแบบจำกัดและเจาะจงเป้าหมาย” (โพสต์ 2026/09/110 ) เครื่องที่มีระดับแพตช์ 2026-09-05 ขึ้นไปได้รับการแก้ไขแล้ว
ผลกระทบ
ผลการแข่งขันยืนยันว่ามือถือเรือธงที่อัปเดตล่าสุดยังมีช่องโหว่ที่เจาะจากระยะไกลได้โดยผู้ใช้ไม่ต้องติดตั้งอะไร และสัดส่วน collision ที่สูงบอกว่าบั๊กบางตัวมีหลายฝ่ายค้นพบซ้ำกัน ซึ่งหมายความว่าผู้โจมตีจริงอาจรู้จักบั๊กเดียวกันอยู่ก่อนแล้ว โดยเฉพาะกรณีบั๊กใน Galaxy S26 ที่ผู้ผลิตรู้อยู่แล้วแต่ยังไม่แพตช์ ช่วงเวลาระหว่างที่บั๊กถูกรู้จักกับวันที่แพตช์ถึงมือผู้ใช้จึงเป็นช่วงเสี่ยงที่ผู้ใช้มองไม่เห็น
สำหรับองค์กร มือถือเป็นอุปกรณ์ที่ถือ MFA อีเมล และแอปงานไว้ในเครื่องเดียว ช่องทางเจาะผ่าน baseband, Wi-Fi หรือ NFC ยังเป็นพื้นผิวที่เครื่องมือ MDM หรือ EDR บนมือถือมองเห็นได้จำกัด อย่างไรก็ดีช่องโหว่จาก Pwn2Own ส่งตรงถึงผู้ผลิต และมีกรอบเวลาแพตช์ 90 วัน ความเสี่ยงต่อผู้ใช้ทั่วไปในระยะสั้นจึงต่ำกว่าช่องโหว่ที่ถูกโจมตีจริงอย่าง CVE-2026-58704
คำแนะนำ
- ติดตั้งอัปเดตความปลอดภัยรายเดือนของ Android/Pixel และ Samsung ทันทีที่ออก และเช็กว่าระดับแพตช์ Pixel อยู่ที่ 2026-09-05 ขึ้นไปเพื่อปิด CVE-2026-58704
- ติดตามประกาศ Pixel และ Samsung ในอีก 1-3 เดือนข้างหน้า ซึ่งน่าจะเป็นรอบที่แพตช์บั๊กจาก Pwn2Own Ireland 2026
- ปิด NFC, Bluetooth และ Wi-Fi เมื่อไม่ใช้งาน โดยเฉพาะในพื้นที่สาธารณะ เพื่อลดพื้นผิวการเจาะผ่านคลื่นวิทยุ
- ผู้ใช้ที่มีความเสี่ยงสูง เช่น ผู้บริหาร นักข่าว หรือเจ้าหน้าที่รัฐ ควรเปิดโหมดป้องกันขั้นสูงของระบบปฏิบัติการ (เช่น Advanced Protection ของ Android) และบังคับใช้ MDM ที่กำหนดระดับแพตช์ขั้นต่ำก่อนเข้าถึงทรัพยากรองค์กร
- องค์กรที่ใช้เครื่องพิมพ์และอุปกรณ์สมาร์ตโฮมรุ่นที่ถูกเจาะ ควรแยกเครือข่ายอุปกรณ์เหล่านี้ออกจากเครือข่ายงานและติดตามเฟิร์มแวร์ใหม่จากผู้ผลิต