SamsungのGalaxy S26は、わずか3日間で7回にわたってハッキングに成功された。研究者は、新たに特定された脆弱性と、メーカーが以前から把握していた脆弱性を組み合わせて攻撃した。
デモは10月8日に終了したPwn2Own Ireland 2026で行われた。 Zero Day Initiativeの公式大会結果によると、研究者は管理された環境下でスマートフォンやその他の接続デバイスへの侵入に成功した。
BleepingComputerは、3日間のイベントで98件のゼロデイ脆弱性を悪用し、参加者が合計126万2,000ドルを獲得したと報じている。
Galaxyの所有者にとって重要な発見の1つは、Samsungがすでに把握していたにもかかわらず、パッチを適用していなかった脆弱性に関するものだ。今回の結果は、セキュリティ上の欠陥への対応がどれほど迅速に行われているのか、またSamsungの最新アップデートが実証された脆弱性から保護できるのかという疑問を投げかけている。
Galaxy S26への7回のハッキングが、既知および新たに発見された脆弱性を明らかに
Galaxy S26はPwn2Own Irelandで7回にわたって侵害に成功したが、最終的な回数は、数字だけから受ける印象よりも複雑な実態を示している。
複数のデモにはバグの衝突が含まれていた。これは、研究者が発見した脆弱性が、大会主催者に以前報告されていた脆弱性や、検証プロセス中に特定された脆弱性と重なる場合に発生する。衝突があったからといって、Samsungがその脆弱性をいつ把握したのか、あるいはパッチを適用していたのかが自動的に確定するわけではない。また、まったく新しいセキュリティ上の欠陥を意味するとも限らない。
これとは別に、 Zero Day Initiativeが発表した初日の結果では、Ikotas Labsの研究者が4件の脆弱性を通じてGalaxy S26の悪用に成功し、そのうち1件はSamsungがすでに把握していたにもかかわらず、パッチを適用していなかったことが確認された。
Viettel Cyber Securityの研究者Nguyen Thanh Datも、4件の脆弱性を使ってGalaxy S26の侵害に成功した。そのうち3件はベンダーがすでに把握していたものだった。これらの発見は、成功した攻撃チェーンの一部に、Samsungがすでに把握していた脆弱性が組み込まれていたことを示している。ただし、大会結果からは、以前から知られていたすべての脆弱性に、デモの時点でパッチが適用されていなかったと断定することはできない。
ほかの研究者は、固有の脆弱性と衝突を組み合わせた攻撃にも成功した。
大会の 2日目には、KAIST Hacking Labの研究者が、固有の脆弱性1件と衝突2件を使ってGalaxy S26を侵害した。PetoWorksも、衝突3件を含むリモート攻撃に成功した。
この結果は、7回のハッキング成功を、完全に別個の未知のセキュリティ脆弱性が7件あったと解釈すべきではない理由を示している。
また、新たに発見された欠陥と、研究者やメーカーがすでに把握していた脆弱性を区別する重要性も浮き彫りにしている。大会全体で報告された98件のゼロデイ脆弱性は、Samsungのスマートフォンだけでなく、複数の製品やプラットフォームに影響を及ぼした。
eSecurityPlanetは以前、 Galaxy S26のハッキングデモについて、関与した研究者とその手法を含めて報じている。
最終結果は別の懸念を浮かび上がらせる。それは、メーカーが存在を把握している脆弱性をセキュリティ研究者が実際に悪用できた場合、何が起こるのかという問題だ。
Samsung Galaxyの所有者にとって今回の結果が意味すること
今回のデモが成功したからといって、サイバー犯罪者が同じ脆弱性をSamsungの顧客に対して実際に悪用していることが示されたわけではない。
Pwn2Ownの研究者は管理された環境下で活動し、対象製品に対して動作するエクスプロイトを実証するよう求める大会規則に従っている。
それでも今回の発見は、メーカーが調査し、対処しなければならないセキュリティ上の弱点を明らかにしている。
BleepingComputerの大会最終報告によると、ベンダーにはPwn2Ownを通じて開示された脆弱性に対処するため90日間の猶予が与えられ、その後、Zero Day Initiativeが技術的な詳細を一般公開できる。
この開示猶予期間は、メーカーが報告された欠陥を調査し、修正を開発してアップデートを配布する時間を確保することを目的としている。すべての脆弱性に90日以内にパッチが適用されることを保証するものではない。
SamsungはGalaxy S26シリーズ向けの2026年10月のセキュリティアップデートの配布も開始したと、 Android Centralの報道は伝えている。
ただし、10月のアップデートによって、Pwn2Own Irelandで実証されたすべての脆弱性が解消されたことを示す確証はない。
Samsungは、セキュリティ修正と影響を受けるデバイスを記録した公式の Mobile Security Updatesページを運営している。大会で明らかになった問題に具体的に対処するパッチについては、その後の勧告や協調開示を通じて確認する必要がある。
Galaxyの所有者にとって、これは利用可能な最新のセキュリティアップデートをインストールすることが引き続き重要である一方、それだけで実証されたすべての脆弱性が修正された証拠と解釈してはならないことを意味する。
Galaxyの所有者とIT管理者は、3つの対策を講じるべきだ：
- 利用可能なセキュリティアップデートをインストールする。設定を開き、「ソフトウェア更新」を選択して、利用可能な最新のパッチを確認する。
- インストール済みのパッチレベルを確認する。デバイスのソフトウェア情報を確認し、どのAndroidセキュリティパッチがインストールされているかを確認する。
- Samsungのセキュリティ勧告を監視する。新たに開示された脆弱性、影響を受けるデバイス、大会に関連する修正の確認情報をチェックする。
Samsungのスマートフォンを管理する組織にとって、今回の結果は、企業所有デバイス全体でセキュリティアップデートを追跡する重要性も改めて示している。
ITチームは、デバイスのモデル、ソフトウェアのバージョン、セキュリティパッチレベルの正確なインベントリを維持し、重要なアップデートが管理対象のスマートフォンに適用されたことを確認すべきだ。
今回の発見は、モバイルセキュリティが抱えるより広範な課題も反映している。eSecurityPlanetは以前、 攻撃者にroot権限を与える可能性があるOnePlusの脆弱性や、Samsungの10月のGalaxyセキュリティアップデートについて報じた。
Pwn2Own Irelandから得られる最も重要な教訓は、成功した攻撃には、新たに発見された弱点と、メーカーがすでに把握していた脆弱性の両方が関与し得るということだ。
Galaxyの所有者にとって、7回のデモが成功したことは、自分のデバイスが侵害された証拠ではない。それは、フラッグシップスマートフォンであっても、セキュリティアップデート、脆弱性の開示、パッチの展開が不可欠であることを改めて示すものだ。
SamsungがPwn2Ownで明らかになった問題のうち、どれに対処したのかを確認するまで、デバイスを最新の状態に保ち、公式のセキュリティ勧告を監視することが、最も現実的な予防策となる。
Samsungのモバイルセキュリティ上の課題について詳しく知るには、 機密性の高いユーザーデータを危険にさらした4件のSmart Switch脆弱性と、Galaxyの所有者がデバイスを保護するためにすべきことをご覧いただきたい。