GoogleはPixelスマートフォンのセルラーモデムに潜んでいた脆弱性を修正した。
この欠陥はゼロクリック攻撃で悪用された可能性があり、9月の月例アップデートでは合計110件の脆弱性が解消されている。
注目ポイント
- Pixelのセルラーモデムに存在する「CVE-2026-58704」について、Googleは「限定的かつ標的型の悪用が行われている可能性がある」と警告。
- このゼロクリック脆弱性はユーザー操作を一切必要とせず、近傍の攻撃者による権限昇格を許すおそれがある。
- 対象となるPixel端末には、110件の脆弱性を修正する「2026年9月5日」のセキュリティパッチレベルが順次配信される。
Pixelモデムのゼロデイ脆弱性
Googleは火曜日に公開したPixel向け更新情報で、この不具合を「CVE-2026-58704」として明示した。同社は説明文のなかで、当該脆弱性について「限定的かつ標的型の悪用が行われている兆候がある」とし、すべてのユーザーに対し、可能なかぎり早期にアップデートを適用するよう強く促している。
問題の脆弱性は、携帯電話網およびインターネット接続を担うセルラーモデムに存在する。モデムのコードに含まれるロジックエラーにより、権限チェックをすり抜けられる可能性があり、端末上で追加の実行権限を持たない攻撃者であっても、近くにいれば権限昇格を実現できるおそれがある。ユーザーの操作は一切不要だ。
標的となる側は、不正侵入を受けるのにリンクをクリックしたり、不審なファイルを開いたりする必要がない。Googleはこの脆弱性を「高リスク」と評価し、他のPixel関連の欠陥109件と合わせて修正した。すべてのサポート対象端末には、「2026年9月5日」のパッチレベルが提供される見通しで、この更新にはAndroid全体向けの9月セキュリティ情報も含まれる。
関連記事: ビットコイン採掘、ハッシュレートに50％のギャップ AI需要が電力を奪う
Pixelを狙うスパイウェア攻撃の懸念
Googleは、攻撃者や被害者、脆弱性の発見者の名前を公表しておらず、攻撃がいつ開始されたのかについても明らかにしていない。広報担当者も、コメント要請に応じていない。
ただ、そのパターンは既視感がある。アナリストらは指摘しているように、「ゼロクリック」「モデムレベル」という特徴と、Googleの慎重な表現ぶりは、商用スパイウェアベンダーや国家支援型ハッカーに関連した過去の攻撃事例とよく似ている。こうしたベンダーは、データ窃取ツールを各国政府や法執行機関に販売していることが多いが、今回のGoogleの勧告文では、特定の組織・国家との関連を示す記述はない。
モデム関連のバグは、とりわけ警戒を集める。モデムはAndroidのアプリセキュリティモデルの多くより低い層で動作し、通信事業者ネットワークとのトラフィックを直接扱うため、攻撃者は悪意あるアプリやフィッシングリンクを使わずとも、より高い権限に到達できる可能性があると、セキュリティ研究者は解説する。
今回のPixel向け修正は、6月に行われた「CVE-2025-48595」への対応に続くものだ。同脆弱性はAndroid Frameworkのゼロデイで、標的型攻撃で悪用され、Android 14以降を搭載する端末上で任意コード実行と権限昇格を可能にしていた。Googleは当時、この問題についてもパッチを提供している。
