Google schließt in gezielten Angriffen ausgenutzte Zero-Day-Lücke im Pixel-Modem

CISA bestätigt aktive Ausnutzung der Pixel-Schwachstelle

Google hat eine Schwachstelle mit hohem Schweregrad im Pixel Cellular Modem geschlossen, nachdem Hinweise auf eine begrenzte, gezielte Ausnutzung entdeckt worden waren.

Die als CVE-2026-58704 geführte Schwachstelle kann es Angreifern ermöglichen, Berechtigungsprüfungen zu umgehen und ohne Interaktion des Nutzers ihre Rechte zu erweitern. Google hat weder die Ziele noch die Angriffs-Infrastruktur, die Ausnutzungsmethode oder den Zweck der beobachteten Aktivitäten offengelegt.

Am 16. September 2026 nahm die US-amerikanische Cybersecurity and Infrastructure Security Agency die Schwachstelle in ihren Katalog der bekannten, ausgenutzten Schwachstellen auf. CISA reserviert diesen Katalog für Sicherheitslücken, für deren Ausnutzung Belege vorliegen. Damit stellt das Problem ein unmittelbares operatives Risiko und keine nur theoretische Schwachstelle dar.

Behörden der US-Bundesverwaltung müssen CVE-2026-58704 bis zum 19. September 2026 beheben. Für andere Organisationen gilt diese Frist nicht. CISA empfiehlt ihnen jedoch, KEV-gelistete Schwachstellen in risikobasierten Patch-Programmen zu priorisieren.

Google bewertet die Schwachstelle als schwerwiegend. Der gemeldete CVSS-Score beträgt 8,0, der Vektor lautet CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Logikfehler setzen Berechtigungsprüfungen des Modems außer Kraft

Bei CVE-2026-58704 handelt es sich um eine Schwachstelle in der Autorisierung, die durch einen Logikfehler im Code des Mobilfunkmodems verursacht wird. Der Fehler kann es Angreifern ermöglichen, vorgesehene Berechtigungsprüfungen zu umgehen und erweiterten Zugriff zu erlangen.

Die verfügbare Beschreibung charakterisiert den Angriffsweg als remote, proximal oder angrenzend. Auch der CVSS-Vektor verwendet einen angrenzenden Angriffsvektor, AV:A, und nicht die netzwerkweite Einstufung AV:N.

Dieser Unterschied ist entscheidend. Die Schwachstelle darf nicht als uneingeschränkter Angriff über das Internet auf jedes erreichbare Pixel-Telefon verstanden werden. Die Ausnutzung erfordert offenbar Zugriff über eine nahe gelegene, logisch angrenzende oder mit dem Mobilfunk verbundene Umgebung. Google hat jedoch nicht angegeben, welche konkrete Funkschnittstelle, welches Protokoll, welche Netzwerkposition oder welcher Zustand des Modems erforderlich ist, um den fehlerhaften Code zu erreichen.

Die Angriffskomplexität ist als niedrig eingestuft, eine Interaktion des Nutzers ist nicht erforderlich. Ein Opfer müsste weder ein Dokument öffnen noch einem Link folgen, eine Anwendung installieren oder eine Eingabeaufforderung bestätigen. Dadurch könnte sich die Schwachstelle für einen Zero-Click-Angriff eignen.

Der veröffentlichte Vektor enthält PR:L, was im Bewertungsmodell geringe Berechtigungen voraussetzt. Laut Googles Beschreibung sind für die Ausnutzung jedoch keine zusätzlichen Ausführungsrechte erforderlich. Ohne technische Analyse oder Exploit-Kette ist nicht bekannt, welcher anfängliche Zugriff oder welche vom Angreifer kontrollierte Position diese Bedingungen erfüllt.

Die Auswirkungsmetriken weisen auf schwerwiegende Folgen für Vertraulichkeit, Integrität und Verfügbarkeit hin. Es gibt jedoch keine öffentliche Darstellung, aus der genau hervorgeht, welche Berechtigungen ein Angreifer erlangt oder ob die beobachteten Vorgänge die Modem-Schwachstelle mit anderen Sicherheitslücken kombinierten.

Schwachstellen auf Modem-Ebene sind besonders sensibel, weil das Mobilfunk-Subsystem unterhalb großer Teile des anwendungsseitigen Sicherheitsmodells von Android arbeitet. Ein Angriff, der diese Ebene erreicht, kann die von Sicherheitskontrollen für Mobilgeräte häufig überwachten Wege über Schad-Apps und Phishing umgehen.

Die genau betroffenen Pixel-Modelle wurden nicht bekannt gegeben

Google nennt Pixel-Geräte und das Pixel Cellular Modem als betroffen. Welche Modelle, Firmware-Builds und anfälligen Produktversionen genau betroffen sind, wurde im verfügbaren Schwachstelleneintrag jedoch nicht veröffentlicht.

Der maßgebliche Hinweis für die Behebung ist der Sicherheits-Patchstand. Unterstützte Pixel-Geräte mit dem Sicherheits-Patchstand 2026-09-05 oder höher enthalten die Fixes für die Pixel-Bulletin-Probleme und das zugehörige Android-Sicherheitsupdate.

Nutzer können über Einstellungen > Sicherheit & Datenschutz und die dort verfügbaren Update-Optionen nach Aktualisierungen suchen. Flottenadministratoren sollten den gemeldeten Patchstand überprüfen, statt allein aufgrund eines Downloads oder eines geplanten Updates davon auszugehen, dass die Aktualisierung installiert wurde.

Das umfassendere Pixel-Release ist beträchtlich. Es behebt 109 weitere Sicherheitslücken: 88 Schwachstellen zur Rechteerweiterung, 10 Probleme durch Offenlegung von Informationen, neun Schwachstellen zur Remote-Code-Ausführung und zwei Denial-of-Service-Schwachstellen. 46 dieser zusätzlichen Probleme werden als kritisch eingestuft.

Zu den betroffenen Bereichen des Releases gehören das Modem, der Bootloader, der Telefonie-Stack, das IP Multimedia Subsystem, die Trusted Execution Environment, VPU, GPU, Bluetooth, NFC, pKVM und proprietäre Pixel-Komponenten. Kritische Schwachstellen zur Remote-Code-Ausführung wurden unter anderem im IP Multimedia Subsystem, in libpixelimsmedia, VPU, Modem, Telefonie und BigOcean gemeldet.

Zwei weitere Kernel-Schwachstellen mit hohem Schweregrad zur Rechteerweiterung sind CVE-2026-56914 mit einem Score von 7,8 und CVE-2026-58773 mit einem Score von 6,7. Keine von beiden wurde als die Zero-Day-Schwachstelle hinter Googles Warnung vor gezielter Ausnutzung identifiziert.

Opfer und Angriffskette bleiben unbekannt

Googles Formulierung deutet auf eine begrenzte, gezielte Nutzung und nicht auf eine breit angelegte Ausnutzung hin. Die KEV-Entscheidung von CISA bestätigt, dass die Beweislage ausreichte, um CVE-2026-58704 als aktiv ausgenutzt einzustufen.

Abgesehen davon ist die Zuordnung weiterhin offen. Google hat weder eine Bedrohungsgruppe noch einen kommerziellen Anbieter von Überwachungssoftware, einen staatlichen Auftraggeber oder einen kriminellen Akteur genannt. Auch die Zahl der betroffenen Geräte, die geografische Verteilung der Opfer und die Ziele der Angriffe sind unbekannt.

Es gibt keine Belege dafür, dass die Modem-Schwachstelle allein ausgenutzt wurde. Sie könnte Teil einer größeren Angriffskette gewesen sein. Ein Sandbox-Bericht, eine forensische Rekonstruktion, Proof-of-Concept-Code oder eine technische Exploit-Analyse wurden jedoch nicht veröffentlicht.

Die Kombination aus Modem-Zugriff, Zero-Click-Verhalten und eng begrenzter, gezielter Aktivität weist auf Merkmale hin, wie sie mitunter bei hochentwickelten mobilen Überwachungsoperationen zu beobachten sind. Das ist eine Einordnung, keine Zuordnung. Derzeit gibt es keine Grundlage, diese Kampagne einem privaten Spyware-Unternehmen oder einer regierungsnahen Gruppe zuzuschreiben.

Es gibt außerdem keine bestätigten Indicators of Compromise, Erkennungssignaturen, schädlichen Domains, Datei-Hashes, Modem-Logs oder gerätespezifischen Artefakte für CVE-2026-58704. Verteidiger können daher nicht auf eine einfache Übereinstimmungsprüfung von Indikatoren vertrauen, um festzustellen, ob ein Telefon Ziel eines Angriffs war.

Die KEV-Frist erfordert Patching und eine Prüfung auf Kompromittierung

Für CVE-2026-58704 weist CISA die Behörden an, die Maßnahmen des Anbieters umzusetzen und dabei BOD 26-04, Prioritizing Security Updates Based on Risk, sowie die Forensics Triage Requirements einzuhalten. Die Behörden müssen außerdem die Internet-Exponierung jedes Assets bewerten und die Patch-Vorgaben der Richtlinie befolgen.

Wenn sich die Maßnahmen nicht umsetzen lassen, besteht die von CISA geforderte Handlung darin, die Nutzung des betroffenen Produkts einzustellen. Die einschlägigen Anforderungen aus BOD 26-04 gelten gegebenenfalls auch für Cloud-Dienste.

Der forensische Aspekt ist von großer Bedeutung. Ein Update schließt die bekannte Schwachstelle, sagt jedoch nichts darüber aus, ob sie vor der Behebung ausgenutzt wurde. Behörden sollten eine mögliche Kompromittierung als Teil der Reaktion prüfen und die Bereitstellung des Patches nicht als Ende der Untersuchung betrachten.

Dies ist nicht Googles einziger jüngster Eintrag in der KEV. In den vorangegangenen 90 Tagen nahm CISA für denselben Anbieter außerdem CVE-2026-87491 am 9. September 2026 und CVE-2026-85046 am 4. September 2026 auf.

Eine frühere Android-Schwachstelle, CVE-2025-48595, wurde am 2. Juni 2026 in die KEV aufgenommen; die Frist für die Behebung durch Bundesbehörden war der 5. Juni 2026. Diese separate Integer-Overflow-Schwachstelle in Android 14 hatte einen CVSS-Score von 8,4 und konnte ohne Interaktion des Nutzers die Ausführung von Code sowie eine lokale Rechteerweiterung ermöglichen.

Was Pixel-Nutzer und Sicherheitsteams tun sollten

Besitzer eines Pixel-Geräts sollten das aktuellste unterstützte Sicherheitsupdate installieren und bestätigen, dass das Gerät einen Patchstand von 2026-09-05 oder höher meldet. Bei Geräten, die keine unterstützten Updates mehr erhalten, sollte nicht davon ausgegangen werden, dass sie vor der Schwachstelle geschützt sind.

Verantwortliche in Unternehmen sollten jedes verwaltete Pixel-Gerät inventarisieren, Modell und Patchstand erfassen und die Bereitstellung für Nutzer beschleunigen, die einer gezielten Überwachung besonders stark ausgesetzt sind. Zu den priorisierten Gruppen können Behördenmitarbeiter, Führungskräfte, Journalisten, Forscher und andere Personen gehören, die mit sensiblen Informationen arbeiten.

Wenn eine Kompromittierung plausibel ist, sollten Teams verfügbare Mobile-Device-Management-Daten, Sicherheitstelemetrie, Geräte-Logs sowie relevante Netzwerk- oder Providerdaten sichern, bevor eine routinemäßige Fehlersuche wichtige Zusammenhänge zerstört. Unerklärliches Verhalten von Modem oder Telefonie, ungewöhnliche Neustarts und verdächtige Rechtewechsel können eine Untersuchung rechtfertigen, sind jedoch keine bestätigten Indicators of Compromise für diese Schwachstelle.

Organisationen sollten außerdem dokumentieren, welche Geräte vor dem Erhalt des Updates aktiv waren. Dieser Zeitraum der Gefährdung kann die Triage unterstützen, wenn keine schwachstellenspezifische Erkennungssignatur vorhanden ist.

Die zuverlässigste Schutzmaßnahme ist die Überprüfung des Patchstands. CVE-2026-58704 wurde ausgenutzt, erfordert keine Interaktion des Opfers und betrifft eine Komponente mit privilegiertem Zugriff auf Mobilfunkfunktionen. Auf öffentlichen Exploit-Code oder eine umfassendere Zuordnung zu warten, würde gezielte Geräte ungeschützt lassen, ohne einen Vorteil für die Abwehr zu bieten.