Il team di sicurezza di Google, Project Zero, ha reso pubblica una catena di attacco di tipo zero-click che colpisce i dispositivi Google Pixel 10. Si tratta di un attacco che non richiede alcuna interazione da parte dell’utente e che, nelle condizioni giuste, può portare al controllo completo del dispositivo.

Come funziona l’attacco: due vulnerabilità concatenate

Il punto di partenza è una vulnerabilità nel framework Dolby Media (CVE-2025-54957), già scoperta sul Pixel 9 e risultata riproducibile anche su Pixel 10. Un attaccante può sfruttare due falle in sequenza per eseguire codice da remoto e scalare i privilegi fino al livello di root, ottenendo così il pieno controllo del sistema.

Nonostante Pixel 10 introduca nuovi meccanismi di protezione della memoria, i ricercatori sono riusciti a trovare metodi alternativi per aggirarli, confermando che il livello di difficoltà dell’attacco rimane basso.

Aggirato il sistema RET PAC di Pixel 10

Pixel 10 ha introdotto RET PAC (Return Address Pointer Authentication), una protezione avanzata contro gli attacchi basati sulla manipolazione dello stack. Tuttavia, i ricercatori hanno identificato una funzione alternativa (dap_cpdp_init) che permette di riscrivere il flusso di controllo del sistema senza attivare le protezioni, mantenendo stabile il dispositivo durante l’attacco.

Vulnerabilità nel driver VPU: scalata al kernel

Vulnerabilità nel driver VPU: scalata al kernel

La seconda fase dell’attacco sfrutta una falla critica nel nuovo driver VPU (/dev/vpu) introdotto con Pixel 10. Questo componente, responsabile dell’elaborazione video, conteneva una vulnerabilità che consentiva la compromissione del kernel, il cuore del sistema operativo.

I dispositivi non aggiornati rimangono vulnerabili

I Pixel non aggiornati con le patch di sicurezza di dicembre 2025 o successive sono rimasti esposti a questo tipo di attacco. Google ha già rilasciato le correzioni, quindi è fondamentale assicurarsi di avere il dispositivo aggiornato all’ultima versione disponibile. La divulgazione pubblica da parte di Project Zero serve a sensibilizzare il settore e a incentivare l’adozione tempestiva degli aggiornamenti di sicurezza.