Google corregge la vulnerabilità zero-day del modem Pixel sfruttata in attacchi mirati

CISA conferma lo sfruttamento attivo della vulnerabilità Pixel

Google ha corretto una vulnerabilità ad alta gravità nel Pixel Cellular Modem dopo aver rilevato indicazioni di uno sfruttamento limitato e mirato.

La vulnerabilità, identificata come CVE-2026-58704, può consentire a un attaccante di aggirare i controlli delle autorizzazioni ed elevare i privilegi senza interazione da parte dell’utente. Google non ha reso noti gli obiettivi, l’infrastruttura d’attacco, il metodo di sfruttamento né lo scopo dell’attività osservata.

Il 16 settembre 2026, la US Cybersecurity and Infrastructure Security Agency ha aggiunto la vulnerabilità al catalogo Known Exploited Vulnerabilities. CISA riserva questo catalogo ai difetti di sicurezza sostenuti da prove di sfruttamento, trasformando il problema in un rischio operativo immediato, non in una debolezza teorica.

Le agenzie del Federal Civilian Executive Branch devono risolvere CVE-2026-58704 entro il 19 settembre 2026. Le altre organizzazioni non sono vincolate da questa scadenza, ma CISA le invita a dare priorità alle vulnerabilità presenti nel catalogo KEV nell’ambito di programmi di patching basati sul rischio.

Google valuta la vulnerabilità come ad alta gravità. Il punteggio CVSS riportato è 8,0, con il vettore CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Un errore logico compromette i controlli delle autorizzazioni del modem

CVE-2026-58704 è una vulnerabilità di autorizzazione impropria causata da un errore logico nel codice del modem cellulare. L’errore può consentire a un attaccante di aggirare i controlli delle autorizzazioni previsti e ottenere un accesso elevato.

La descrizione disponibile caratterizza il percorso di sfruttamento come remoto, prossimale o adiacente. Anche il vettore CVSS utilizza un vettore d’attacco adiacente, AV:A, invece dell’indicatore AV:N, riferito a un attacco attraverso la rete nel suo complesso.

La distinzione è importante. La vulnerabilità non deve essere interpretata come un attacco senza restrizioni proveniente da Internet contro ogni telefono Pixel raggiungibile. A quanto pare, lo sfruttamento richiede l’accesso tramite un ambiente vicino, logicamente adiacente o legato alla rete cellulare, ma Google non ha identificato l’interfaccia radio, il protocollo, la posizione nella rete o la condizione del modem necessari per raggiungere il codice vulnerabile.

La complessità dell’attacco è valutata come bassa e non è richiesta l’interazione dell’utente. La vittima non dovrebbe aprire un documento, seguire un link, installare un’applicazione o approvare una richiesta. Questo rende la vulnerabilità potenzialmente sfruttabile in un attacco zero-click.

Il vettore pubblicato include PR:L, a indicare che nel modello di valutazione sono richiesti privilegi bassi. La descrizione di Google afferma inoltre che lo sfruttamento non richiede ulteriori privilegi di esecuzione. In assenza di un’analisi tecnica o di una catena di exploit, non è noto quale accesso iniziale o quale posizione sotto il controllo dell’attaccante soddisfi queste condizioni.

Le metriche d’impatto indicano conseguenze elevate per riservatezza, integrità e disponibilità. Tuttavia, nessuna ricostruzione pubblica spiega esattamente quali privilegi ottenga l’attaccante né se le operazioni osservate abbiano combinato la vulnerabilità del modem con altre vulnerabilità.

Le debolezze a livello di modem sono particolarmente sensibili perché il sottosistema cellulare opera al di sotto di gran parte del modello di sicurezza di Android rivolto alle applicazioni. Un attacco che raggiunga questo livello può eludere i percorsi basati su applicazioni malevole e phishing comunemente monitorati dai controlli di sicurezza mobile.

Non sono stati resi noti i modelli Pixel esattamente interessati

Google identifica come interessati i dispositivi Pixel e il Pixel Cellular Modem, ma nel registro delle vulnerabilità disponibile non sono stati pubblicati i modelli esatti, le build del firmware e le versioni vulnerabili dei prodotti.

Il riferimento pratico per verificare la correzione è il livello della patch di sicurezza. I dispositivi Pixel supportati che riportano il livello della patch di sicurezza 2026-09-05 o successivo contengono le correzioni per i problemi del bollettino Pixel e per la corrispondente release di sicurezza Android.

Gli utenti possono verificare la presenza di aggiornamenti tramite Impostazioni > Sicurezza e privacy e i controlli disponibili per gli aggiornamenti. Gli amministratori delle flotte dovrebbero verificare il livello della patch riportato, senza presumere che un aggiornamento sia stato installato solo perché è stato scaricato o pianificato.

La release Pixel nel suo complesso è consistente. Risolve altri 109 difetti di sicurezza: 88 vulnerabilità di escalation dei privilegi, 10 problemi di divulgazione di informazioni, nove vulnerabilità di esecuzione di codice da remoto e due vulnerabilità di denial-of-service. Di questi problemi aggiuntivi, 46 sono classificati come critici.

Le aree interessate dalla release includono modem, bootloader, stack di telefonia, IP Multimedia Subsystem, Trusted Execution Environment, VPU, GPU, Bluetooth, NFC, pKVM e componenti proprietari Pixel. Sono state segnalate vulnerabilità critiche di esecuzione di codice da remoto in componenti tra cui IP Multimedia Subsystem, libpixelimsmedia, VPU, modem, telephone e BigOcean.

Altri due problemi di escalation dei privilegi del kernel ad alta gravità sono CVE-2026-56914, con un punteggio di 7,8, e CVE-2026-58773, con un punteggio di 6,7. Nessuno dei due è stato identificato come lo zero-day alla base dell’avviso di Google sullo sfruttamento mirato.

Le vittime e la catena d’attacco restano sconosciute

Il linguaggio utilizzato da Google indica uno sfruttamento limitato e mirato, non un’attività diffusa. La decisione di CISA di inserire la vulnerabilità nel catalogo KEV conferma che le prove erano sufficienti per classificare CVE-2026-58704 come sfruttata attivamente.

Al di là di questi elementi, l’attribuzione resta aperta. Google non ha indicato un gruppo di minacce, un fornitore commerciale di strumenti di sorveglianza, uno sponsor statale o un operatore criminale. Restano inoltre sconosciuti il numero dei dispositivi interessati, la distribuzione geografica delle vittime e gli obiettivi degli attacchi.

Non ci sono prove che stabiliscano se la vulnerabilità del modem sia stata sfruttata da sola. Potrebbe aver costituito una fase di una catena più ampia, ma non sono stati resi pubblici report di sandbox, ricostruzioni forensi, codice proof-of-concept o analisi tecniche dell’exploit.

La combinazione di accesso al modem, comportamento zero-click e attività mirata su scala ridotta presenta caratteristiche talvolta osservate in sofisticate operazioni di sorveglianza mobile. Si tratta di un contesto, non di un’attribuzione. Al momento non esistono elementi per ricondurre questa campagna a un’azienda privata di spyware o a un gruppo legato a un governo.

Non sono inoltre disponibili indicatori di compromissione confermati, firme di rilevamento, domini malevoli, hash di file, log del modem o artefatti del dispositivo specifici per CVE-2026-58704. Di conseguenza, i responsabili della difesa non possono affidarsi a una semplice ricerca basata sulla corrispondenza degli indicatori per stabilire se un telefono sia stato preso di mira.

La scadenza KEV impone di applicare le patch e valutare eventuali compromissioni

Per CVE-2026-58704, CISA impone alle agenzie di applicare le mitigazioni del fornitore nel rispetto della BOD 26-04, Prioritizing Security Updates Based on Risk, e dei relativi Forensics Triage Requirements. Le agenzie devono inoltre valutare l’esposizione a Internet di ogni risorsa e seguire le indicazioni della direttiva sull’applicazione delle patch.

Se non è possibile applicare le mitigazioni, CISA impone di interrompere l’uso del prodotto interessato. I requisiti pertinenti della BOD 26-04 si applicano, ove previsto, anche ai servizi cloud.

La componente forense è significativa. L’installazione di un aggiornamento chiude la vulnerabilità nota, ma non stabilisce se lo sfruttamento sia avvenuto prima della correzione. Le agenzie dovrebbero valutare una possibile compromissione nell’ambito della risposta all’incidente, invece di considerare la distribuzione della patch come la conclusione dell’indagine.

Questa non è l’unica recente presenza di Google nel catalogo KEV. Nei 90 giorni precedenti, CISA aveva aggiunto alla lista anche CVE-2026-87491, il 9 settembre 2026, e CVE-2026-85046, il 4 settembre 2026, entrambe relative allo stesso fornitore.

Una precedente vulnerabilità di Android, CVE-2025-48595, è entrata nel catalogo KEV il 2 giugno 2026, con scadenza per la correzione da parte delle agenzie federali fissata al 5 giugno 2026. Questa distinta vulnerabilità di integer overflow di Android 14 aveva un punteggio CVSS di 8,4 e poteva consentire l’esecuzione di codice e l’escalation locale dei privilegi senza interazione dell’utente.

Cosa devono fare gli utenti Pixel e i team di sicurezza

I proprietari di dispositivi Pixel dovrebbero installare l’ultimo aggiornamento di sicurezza supportato e verificare che il dispositivo riporti un livello della patch pari a 2026-09-05 o successivo. Non si deve presumere che i dispositivi che non ricevono più aggiornamenti supportati siano al sicuro dalla vulnerabilità.

I responsabili della sicurezza aziendale dovrebbero censire ogni dispositivo Pixel gestito, raccoglierne modello e livello della patch e accelerare la distribuzione agli utenti più esposti alla sorveglianza mirata. Tra i gruppi prioritari possono rientrare personale governativo, dirigenti, giornalisti, ricercatori e altre persone che gestiscono informazioni sensibili.

Quando una compromissione è plausibile, i team dovrebbero conservare i record disponibili di mobile-device-management, la telemetria di sicurezza, i log dei dispositivi e i dati pertinenti provenienti dalla rete o dall’operatore prima che le normali attività di risoluzione dei problemi eliminino il contesto. Comportamenti inspiegabili del modem o della telefonia, riavvii anomali e transizioni sospette dei privilegi possono giustificare un’indagine, ma non sono indicatori confermati di questa vulnerabilità.

Le organizzazioni dovrebbero inoltre documentare i dispositivi che erano attivi prima di ricevere l’aggiornamento. Questa finestra di esposizione può orientare il triage quando non esiste una firma di rilevamento specifica per la vulnerabilità.

L’azione difensiva più affidabile consiste nel verificare l’applicazione della patch. CVE-2026-58704 è stata sfruttata, non richiede interazione da parte della vittima e interessa un componente con accesso privilegiato alle funzioni cellulari. Attendere la pubblicazione del codice dell’exploit o un’attribuzione più completa lascerebbe esposti i dispositivi presi di mira senza offrire alcun vantaggio difensivo.