Google ha pubblicato un nuovo aggiornamento di sicurezza per gli smartphone Pixel dopo aver rilevato indizi di sfruttamento attivo e mirato della vulnerabilità CVE-2026-58704. La falla interessa il modem cellulare ed è classificata con gravità alta. Il bollettino Pixel di settembre 2026, pubblicato il 15 settembre, precisa che potrebbero essere già in corso attacchi limitati e mirati.
L’allerta è stata ripresa anche dall’Agenzia per la Cybersicurezza Nazionale, che raccomanda l’installazione degli aggiornamenti disponibili. Il bollettino Google comprende numerose vulnerabilità, comprese falle che possono portare all’esecuzione di codice da remoto e all’acquisizione di privilegi elevati. È però importante distinguere questi problemi dalla vulnerabilità per la quale Google segnala possibili attività di sfruttamento.
Cosa sappiamo della CVE-2026-58704
La CVE-2026-58704 riguarda nello specifico il modem dei dispositivi Pixel ed è classificata da Google come una vulnerabilità di tipo Elevation of Privilege, o EoP. Non si tratta quindi di una vulnerabilità Remote Code Execution.
Secondo la descrizione associata al record CVE, alla base del problema c’è un errore logico nel modem cellulare che può causare un bypass dei controlli sui permessi. In determinate condizioni un attaccante potrebbe ottenere privilegi superiori sul dispositivo. L’attacco non richiede l’interazione della vittima e il vettore indicato è di tipo adiacente o di prossimità, un elemento che ridimensiona l’idea di un attacco eseguibile indistintamente da qualsiasi punto di Internet.
Google scrive che esistono indicazioni secondo le quali CVE-2026-58704 potrebbe essere oggetto di uno sfruttamento limitato e mirato. La formulazione utilizzata dal produttore non permette, allo stato attuale, di stabilire il numero di dispositivi colpiti, chi conduca gli attacchi o quali siano gli obiettivi.
Nel bollettino ci sono anche vulnerabilità RCE
L’indicazione relativa alla Remote Code Execution presente negli avvisi sulla sicurezza riguarda altre vulnerabilità corrette con lo stesso aggiornamento.
Il bollettino Pixel di settembre include, tra le altre, le vulnerabilità critiche CVE-2026-55318, relativa all’IP Multimedia Subsystem, CVE-2026-55343 in libpixelimsmedia, CVE-2026-56920 nella VPU, CVE-2026-56967 nel modem e CVE-2026-58683 nella componente telefonica. Google le classifica come vulnerabilità che possono portare all’esecuzione di codice da remoto.
Attribuire la capacità di Remote Code Execution direttamente alla CVE-2026-58704 sarebbe quindi impreciso: per quest’ultima Google indica una elevazione dei privilegi nel modem.
La patch di sicurezza da installare
Google indica che i dispositivi aggiornati al livello patch di sicurezza del 5 settembre 2026 o successivo risultano protetti dai problemi descritti nel bollettino Pixel di settembre.
La società specifica inoltre che tutti i dispositivi Pixel ancora supportati riceveranno l’aggiornamento al livello di patch 2026-09-05 e invita gli utenti a installarlo. La distribuzione degli aggiornamenti Pixel può avvenire in più fasi, quindi la disponibilità immediata può variare in base al dispositivo, all’operatore e al mercato.
Per verificare la situazione sul proprio smartphone basta aprire Impostazioni, Sistema, Aggiornamento software e controllare la presenza di nuovi aggiornamenti. Nelle informazioni sul dispositivo è possibile verificare anche il livello della patch di sicurezza Android installata.
Pixel 7 e Pixel 7 Pro possono essere aggiornati
Anche Google Pixel 7 e Pixel 7 Pro sono ancora coperti dal programma ufficiale di aggiornamento e non devono essere considerati dispositivi fuori supporto. Google indica per Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel 6, Pixel 6 Pro, Pixel 6a e Pixel Fold cinque anni di aggiornamenti del sistema operativo e della sicurezza a partire dalla data di introduzione sul Google Store statunitense.
Pixel 7 e Pixel 7 Pro sono arrivati nei negozi il 13 ottobre 2022, quindi il periodo di supporto previsto arriva fino all’autunno del 2027. Al 16 settembre 2026 entrambi i modelli sono dunque pienamente supportati e rientrano tra i dispositivi destinati a ricevere le patch di sicurezza. Chi possiede un Pixel 7 o Pixel 7 Pro dovrebbe controllare che il livello delle patch riportato nelle impostazioni sia 5 settembre 2026 o successivo. Se l’aggiornamento non compare subito tramite OTA, questo non significa che il dispositivo sia escluso: Google distribuisce gli aggiornamenti in modo progressivo e segnala che, in alcuni casi, possono servire alcune settimane prima che raggiungano tutti i dispositivi.
Un aggiornamento di settembre particolarmente corposo
La CVE-2026-58704 rappresenta solo una parte dell’aggiornamento. Il bollettino Pixel di settembre corregge numerosi problemi nei componenti del sistema, tra cui modem, telefonia, bootloader, Bluetooth, NFC, Trusted Execution Environment, System UI, GPU e altri elementi della piattaforma. Sono presenti vulnerabilità classificate come critiche e altre con gravità alta, con possibili impatti che comprendono esecuzione di codice da remoto, elevazione dei privilegi, divulgazione di informazioni e denial of service. Google considera risolti i problemi descritti nel bollettino sui dispositivi che dispongono del livello di patch 2026-09-05 o successivo.
Aiutaci a crescere: lasciaci un like :)