Google ha confermato il 16 settembre che alcuni smartphone Pixel sono stati oggetto di attacchi mirati che hanno sfruttato una vulnerabilità nel modem cellulare integrato nei dispositivi. Il numero di terminali colpiti sembra limitato, ma la falla non richiede alcuna interazione da parte dell’utente per essere sfruttata, un dettaglio che rende la vicenda particolarmente delicata.
La falla CVE-2026-58704 permette l’escalation dei privilegi
Il problema, identificato come CVE-2026-58704, è stato risolto con l’aggiornamento di sicurezza Android di settembre 2026, che nel complesso corregge oltre 200 vulnerabilità. Google ha specificato che questa in particolare è stata sfruttata in attacchi limitati e mirati.
La vulnerabilità riguarda una falla logica nel codice del modem cellulare presente sui dispositivi Pixel, che permette di bypassare i controlli sui permessi. In pratica, un attaccante potrebbe ottenere da remoto privilegi elevati senza bisogno di eseguire codice con permessi aggiuntivi, e soprattutto senza che la vittima debba cliccare link sospetti o installare app malevole: si tratta di un attacco definito “zero-click”.
Anche il CISA statunitense conferma lo sfruttamento attivo
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha inserito la vulnerabilità nel proprio catalogo delle falle note e attivamente sfruttate, confermando che il problema di autenticazione nel modem cellulare dei Pixel è stato effettivamente utilizzato in attacchi reali. L’agenzia sottolinea come questo tipo di vulnerabilità rappresenti un vettore ricorrente per attori malevoli, con rischi particolarmente elevati per enti governativi.
Al momento Google non ha fornito dettagli sui modelli Pixel coinvolti né sulle modalità precise con cui la falla sarebbe stata utilizzata negli attacchi, né sull’identità dei responsabili.
Cosa fare per proteggersi
- verificare nelle impostazioni del proprio Pixel la disponibilità dell’aggiornamento di sicurezza di settembre 2026
- installare l’update non appena disponibile, anche in assenza di segnalazioni di problemi visibili
- non presupporre che l’assenza di comportamenti anomali escluda un possibile tentativo di attacco, trattandosi di una falla zero-click
Anche se il numero di dispositivi coinvolti risulta limitato, la natura zero-click della vulnerabilità rende comunque consigliabile installare la patch di sicurezza il prima possibile per tutti gli utenti Pixel.
