Pixel, Google chiude una falla zero-day nel modem già sfruttata in attacchi

Un aggiornamento di sicurezza per smartphone diventa molto più urgente quando una delle vulnerabilità corrette risulta già sfruttata per condurre attacchi contro dispositivi reali. È ciò che sta accadendo con CVE-2026-58704, falla presente nel modem dei Google Pixel che l’azienda considera oggetto di sfruttamento “limitato e mirato“.

La vulnerabilità compare nel Pixel Update Bulletin pubblicato il 15 settembre 2026, una settimana dopo il bollettino Android generale di settembre. Il pacchetto porta i dispositivi Google supportati al livello patch 2026-09-05 e interviene complessivamente su 110 problemi di sicurezza.

Perché un bug nel modem è particolarmente delicato

Google descrive CVE-2026-58704 come un problema nel componente “Cellular Modem“. Alla base c’è un errore logico che può causare un permission bypass, cioè l’aggiramento di un controllo che dovrebbe impedire a un soggetto con determinati privilegi di compiere operazioni non autorizzate.

Il modem di uno smartphone gestisce una parte rilevante delle comunicazioni con la rete mobile e deve interpretare dati provenienti da infrastrutture esterne al dispositivo. Proprio per questo i problemi nelle implementazioni baseband e nei relativi livelli software attirano da tempo l’attenzione dei ricercatori di sicurezza.

CVE-2026-58704 non risulta classificata come esecuzione diretta di codice arbitrario. Il problema consiste nel superamento di un controllo dei permessi che può permettere all’attaccante di aumentare il proprio livello di accesso: una vulnerabilità di privilege escalation può diventare molto più pericolosa quando entra in una catena di exploit insieme ad altre falle.

Come abbiamo spesso osservato in altri nostri articoli, un exploit contro uno smartphone raramente coincide con un solo bug capace di fare tutto. Gli attacchi più sofisticati combinano spesso una prima vulnerabilità utile a raggiungere un componente con una seconda falla per ottenere privilegi più elevati e, eventualmente, ulteriori tecniche per uscire da sandbox o superare altre protezioni.

Perché Google parla di sfruttamento limitato e mirato

La frase usata nel bollettino è molto precisa: Google afferma che esistono indicazioni secondo cui CVE-2026-58704 possa essere sottoposta a sfruttamento limitato e mirato da parte di gruppi di aggressori. Non significa quindi che milioni di smartphone Pixel siano sotto attacco o che l’exploit circoli liberamente in campagne criminali di massa.

L’espressione compare spesso quando Google rileva o riceve informazioni su attacchi rivolti a un numero ristretto di soggetti. Va detto però che l’azienda non specifica chi abbia sviluppato l’exploit, quali categorie di utenti siano prese di mira o se la vulnerabilità faccia parte di una catena più ampia.

L’aggiornamento Pixel di settembre corregge molto di più

CVE-2026-58704 è la falla che attira maggiormente l’attenzione, ma non è affatto l’unico problema corretto.

Il bollettino Pixel di settembre contiene una lunga serie di vulnerabilità nel kernel e nei componenti specifici dei telefoni Google. Tra le 109 falle si registrano, ad esempio, 12 vulnerabilità RCE e 89 problemi di elevazione dei privilegi classificati come critici o di gravità alta.

Scorrendo il documento di Google si trovano problemi distribuiti tra bootloader, modem, telefonia, Trusted Execution Environment, GSA, VPU, NFC, Bluetooth, System UI, GPU, pKVM, componenti biometrici e altri sottosistemi. Alcune vulnerabilità RCE critiche interessano, per esempio, IP Multimedia Subsystem, libpixelimsmedia, VPU, modem e telefonia.

Cosa devono fare i possessori di un Google Pixel

La mitigazione realmente efficace consiste nell’installare l’aggiornamento. Google raccomanda esplicitamente a tutti i proprietari di dispositivi supportati di accettare le nuove patch.

Dal telefono è possibile aprire le impostazioni relative a sicurezza e privacy, raggiungere la sezione degli aggiornamenti di sistema e controllare la presenza del nuovo aggiornamento di sicurezza. Al termine dell’installazione può essere necessario riavviare il dispositivo.

Dopo l’operazione conviene verificare che il livello patch riportato da Android sia 2026-09-05 o successivo.

Per una falla nel modem già associata a sfruttamento reale, rimandare l’aggiornamento per settimane non è una buona idea: disabilitare applicazioni, evitare siti web sospetti o prestare maggiore attenzione ai messaggi ricevuti non costituisce una mitigazione equivalente, perché la vulnerabilità non richiede l’apertura volontaria di contenuti da parte dell’utente.

La buona notizia è che Google dispone già della correzione e l’ha distribuita ai Pixel supportati. Quella meno rassicurante è che CVE-2026-58704 ricorda quanto una parte critica della sicurezza di uno smartphone risieda molto al di sotto delle applicazioni visibili sullo schermo.