Google ha corretto una vulnerabilità nel modem cellulare dei suoi Pixel che potrebbe essere stata sfruttata in attacchi zero-click, all’interno di un aggiornamento di settembre che risolve complessivamente 110 falle di sicurezza.
Punti chiave:
- Google segnala che la falla CVE-2026-58704 nel modem cellulare dei Pixel potrebbe essere oggetto di sfruttamento mirato e limitato.
- Il bug zero-click non richiede alcuna azione dell’utente e può consentire a un attaccante nelle vicinanze di ottenere un’escalation di privilegi.
- I dispositivi Pixel supportati riceveranno il livello di patch 5 settembre 2026, che chiude 110 vulnerabilità.
Zero-day nel modem dei Google Pixel
La vulnerabilità, catalogata come CVE-2026-58704, è stata evidenziata da Google nel Pixel Update Bulletin pubblicato martedì. In un avviso ufficiale, Google ha dichiarato di avere indicazioni che il difetto possa essere già oggetto di sfruttamento mirato su scala limitata, invitando tutti gli utenti a installare il nuovo aggiornamento sui propri dispositivi senza indugi.
Il problema risiede nel modem cellulare, il componente che consente allo smartphone di collegarsi alle reti mobili e a Internet. Un errore logico nel codice del modem permette di aggirare alcuni controlli di autorizzazione, offrendo a un attaccante nelle vicinanze la possibilità di aumentare i propri privilegi senza disporre di ulteriori permessi di esecuzione sul dispositivo. Non è richiesta alcuna interazione da parte dell’utente.
La vittima non deve cliccare su link né aprire file malevoli affinché l’attacco vada a buon fine. Google ha classificato la vulnerabilità come ad alta gravità e l’ha corretta insieme ad altre 109 falle che colpiscono i Pixel. Tutti i modelli ancora supportati riceveranno il livello di patch del 5 settembre 2026, che integra anche le correzioni previste dal bollettino di sicurezza Android di settembre.
Da leggere anche: L’estrazione di Bitcoin affronta un gap del 50% nell’hashrate mentre l’AI assorbe capacità
Rischio spyware sui Pixel
Google non ha reso noti né gli attaccanti, né le potenziali vittime, né il ricercatore che ha individuato la falla, e non ha specificato quando siano iniziati gli attacchi. Un portavoce del gruppo non ha risposto alle richieste di commento della stampa.
Il quadro ricorda altri casi noti. Diversi analisti osservano che la natura zero-click e a livello di modem del bug, unita alla prudenza nel linguaggio usato da Google, è in linea con campagne già viste in passato, attribuite a fornitori di spyware commerciale o a gruppi di hacker legati a governi. Questi operatori vendono spesso strumenti di sorveglianza digitale a enti pubblici e forze dell’ordine, anche se l’avviso di Google non collega esplicitamente l’episodio ad alcun soggetto specifico.
Le vulnerabilità nei modem attirano particolare attenzione. Operano al di sotto di gran parte del modello di sicurezza delle app Android e gestiscono il traffico tra lo smartphone e la rete dell’operatore, offrendo agli aggressori una corsia privilegiata per ottenere accessi elevati senza ricorrere ad app malevole o campagne di phishing, come hanno spiegato diversi ricercatori di sicurezza.
La correzione per i Pixel arriva dopo la patch di giugno per CVE-2025-48595, una zero-day nel framework Android che Google ha affrontato dopo averne rilevato l’uso in attacchi mirati. Quel bug consentiva agli hacker di eseguire codice arbitrario e ottenere privilegi più elevati sui dispositivi con Android 14 o versioni successive.
Prossimo articolo: Shiba Inu sistema il link al wallet di Shibarium, ma SHIB perde il 6% in una settimana
