CISA 16 września 2026 r. dodała CVE-2026-58704 do katalogu znanych aktywnie wykorzystywanych luk (KEV). Podatność dotyczy niewłaściwej autoryzacji w modemie komórkowym Google Pixel. Google wcześniej wskazało na możliwe ograniczone, ukierunkowane wykorzystanie problemu, a poziom poprawek 2026-09-05 lub nowszy usuwa tę lukę.
CISA podniosła pilność problemu z modemem Pixela
Google opisało CVE-2026-58704 w biuletynie bezpieczeństwa Pixel opublikowanym 15 września 2026 r. jako poważną lukę typu elevation of privilege, czyli eskalację uprawnień. Dzień później CISA wpisała ją do katalogu KEV, powołując się na dowody aktywnego wykorzystania.
Google użyło ostrożniejszego sformułowania: wskazało na możliwość ograniczonych i ukierunkowanych ataków. Te dwa komunikaty dotyczą kolejnych etapów opisu tego samego problemu — najpierw pojawiła się informacja o możliwym wykorzystaniu, a następnie CISA uznała lukę za aktywnie wykorzystywaną w ramach swojej klasyfikacji KEV.
Co robi CVE-2026-58704
Problem znajduje się w modemie komórkowym i wynika z błędu logicznego, który może umożliwić obejście kontroli uprawnień. Opis techniczny przewiduje zdalną eskalację uprawnień z sąsiedniej sieci lub innego bliskiego środowiska sieciowego.
Parametry przypisane do luki obejmują:
- wektor ataku: sieć sąsiednia;
- niski poziom złożoności ataku;
- brak wymaganych wcześniejszych uprawnień;
- brak wymaganej interakcji użytkownika;
- wynik CISA-ADP CVSS 3.1: 8,8 — wysoki.
Ostatni punkt jest szczególnie ważny w praktyce: wykorzystanie nie wymaga kliknięcia łącza, otwarcia pliku ani wykonania innej czynności przez właściciela telefonu. Opis dotyczy eskalacji uprawnień; nie ustanawia sam w sobie możliwości wykonania dowolnego kodu.
Które Pixele są objęte problemem?
CVE-2026-58704 jest przypisane do rodziny Google Pixel i komponentu modemu, ale biuletyn nie wymienia konkretnych modeli. Nie należy więc zakładać, że problem dotyczy wyłącznie jednej generacji albo konkretnego telefonu.
Jaką poprawkę zainstalować
Google podało, że obsługiwane urządzenia otrzymują poziom poprawek bezpieczeństwa 2026-09-05, który obejmuje problemy wymienione w biuletynie Pixel z września 2026 r. Właściciel Pixela powinien zainstalować wrześniową aktualizację, a następnie sprawdzić w ustawieniach telefonu, czy widnieje poziom 2026-09-05 lub nowszy.
Jeśli ktoś podejrzewa przejęcie telefonu sprzed aktualizacji, rozsądnym działaniem jest zmiana wrażliwych haseł oraz obserwowanie kont pod kątem nieautoryzowanej aktywności. Sam brak podejrzanego kliknięcia lub wiadomości nie wyklucza wykorzystania tej luki, ponieważ interakcja użytkownika nie jest wymagana.
