Vulnerabilità del modem Pixel sfruttata, Google la corregge

Google ha divulgato che una vulnerabilità nel modem cellulare dei Pixel, tracciata come CVE-2026-58704, è stata oggetto di uno sfruttamento mirato limitato. La falla è un problema di escalation dei privilegi, e l'avviso di Google emesso martedì afferma che l'azienda ha trovato indicazioni che la vulnerabilità potrebbe essere attivamente usata in attacchi. Secondo il National Vulnerability Database del NIST, un errore logico nel codice del modem può consentire un bypass dei permessi, portando a un'escalation dei privilegi remota (prossimale/adiacente) senza bisogno di privilegi di esecuzione aggiuntivi e senza interazione dell'utente.

Il modem cellulare è il chip che connette un telefono alla rete mobile per chiamate e dati, e esegue un proprio software separato. La vulnerabilità ha un punteggio CVSS di 8.0, che rientra nella fascia di gravità alta. In termini semplici, l'escalation dei privilegi significa che un attaccante può ottenere più diritti di accesso di quanti dovrebbe normalmente avere, in questo caso all'interno del modem cellulare del telefono. La descrizione remota (prossimale/adiacente) significa che un attaccante probabilmente deve trovarsi nel raggio radio o su un percorso di rete vicino, ma la vittima non deve cliccare un link o aprire un file. Il 16 settembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto CVE-2026-58704 al suo catalogo Known Exploited Vulnerabilities (KEV), un elenco di falle di sicurezza che gli attaccanti stanno attivamente usando. La CISA ha descritto il problema come una vulnerabilità di autorizzazione impropria nel modem cellulare, affermando che un errore logico potrebbe consentire a un attaccante di aggirare i controlli dei permessi e escalare i privilegi. Alle agenzie del ramo esecutivo civile federale è stato detto di applicare le correzioni entro il 19 settembre 2026. Poiché l'exploit non richiede un clic o l'apertura di un file, è considerato un attacco zero-click.

L'aggiornamento Pixel di settembre 2026 risolve CVE-2026-58704 e altre 109 falle di sicurezza. Tra queste altre correzioni, 88 riguardano l'escalation dei privilegi, 10 la divulgazione di informazioni, 9 l'esecuzione di codice in remoto e 2 la negazione del servizio. Due vulnerabilità di escalation dei privilegi di gravità alta nei componenti del Kernel (il nucleo del sistema operativo) sono tracciate come CVE-2026-56914 e CVE-2026-58773. L'aggiornamento corregge anche 46 vulnerabilità di gravità critica in componenti Pixel, tra cui BigOcean, Bootloader (il software che avvia il dispositivo), IP Multimedia Subsystem (la parte che gestisce chiamate vocali e videochiamate su dati mobili) e Trusted Execution Environment (un'area sicura per operazioni sensibili). Questi problemi critici potrebbero portare a escalation dei privilegi o esecuzione di codice in remoto. Google afferma che il livello di patch di sicurezza 2026-09-05 o successivo risolve tutte le falle identificate. Gli utenti possono installare l'aggiornamento andando in Impostazioni, poi Sicurezza e privacy, e seguendo il prompt di aggiornamento.

La falla del modem attivamente sfruttata non è un caso isolato nei recenti aggiornamenti Google. A giugno 2026, Google ha corretto CVE-2025-48595, una falla di gravità alta nel componente Framework di Android con un punteggio CVSS di 8.4, e ha detto che quella falla era stata oggetto di sfruttamento attivo. Per i proprietari di siti web e i team IT, il collegamento con l'hosting e la sicurezza dei siti web è diretto. Molte persone usano lo stesso telefono per gestire dashboard WordPress, pannelli di controllo dell'hosting, email aziendali e codici di autenticazione a due fattori. Se un attaccante ottiene diritti elevati sul telefono, quel dispositivo non può più essere considerato affidabile per proteggere login, messaggi o credenziali salvate, il che a sua volta mette a rischio i siti web e gli account a cui si accede da esso. Trattare gli aggiornamenti del telefono come parte della sicurezza dell'infrastruttura è ormai un requisito di routine. I team IT che già applicano patch a server, router e sistemi di gestione dei contenuti dovrebbero trattare i telefoni usati per l'accesso amministrativo con la stessa urgenza.

Google non ha condiviso dettagli su chi sia dietro lo sfruttamento mirato limitato o su come esattamente gli attacchi vengano condotti. L'avviso non descrive l'attore della minaccia o la catena di attacco. Poiché la falla può essere attivata silenziosamente senza alcuna interazione da parte del proprietario del dispositivo, la risposta più sicura è installare l'aggiornamento di settembre 2026 non appena è disponibile. Dopo l'aggiornamento, gli utenti dovrebbero confermare che il livello di patch di sicurezza Android mostri 2026-09-05 o una data successiva. Nessuna soluzione alternativa è descritta nell'avviso; la patch stessa è la mitigazione. Gli utenti che ritardano l'aggiornamento rimangono esposti a una falla che può essere attivata senza alcuna azione da parte loro, motivo per cui la patch dovrebbe essere trattata come urgente anche senza una descrizione pubblica dell'exploit.

Per le organizzazioni che gestiscono siti web, infrastrutture di hosting e i telefoni usati per amministrarli, una pratica IT e di consulenza orientata alla sicurezza come AEU-I può aiutare a trasformare avvisi ricorrenti dei fornitori come questo in un programma di patch applicato.