Em 16 de setembro de 2026, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu a CVE-2026-58704 no catálogo de vulnerabilidades conhecidamente exploradas, com base em evidências de exploração ativa. A falha está no modem celular dos Google Pixel e pode permitir elevação de privilégios sem qualquer interação do usuário. Para os proprietários, a medida prática é verificar se o aparelho está no nível de patch de segurança 2026-09-05 ou posterior.

O que aconteceu em 16 de setembro de 2026

A CISA adicionou a CVE-2026-58704 ao Known Exploited Vulnerabilities Catalog em 16 de setembro, um dia depois de a Google publicar o boletim de segurança de setembro para o Pixel. A agência classificou a inclusão como baseada em evidências de exploração ativa.

No boletim, a Google descreveu a falha como uma vulnerabilidade de alta gravidade de elevação de privilégios no modem. A empresa também informou que havia indícios de exploração limitada e direcionada. Isso coloca o problema em uma categoria mais urgente do que uma vulnerabilidade apenas teórica, embora os detalhes dos ataques não tenham sido divulgados.

O que a CVE-2026-58704 permite

A falha envolve uma possível burla de permissões causada por um erro lógico no código do modem celular. A descrição técnica associa o problema a uma elevação remota de privilégios por uma rede adjacente ou próxima.

O registro da vulnerabilidade indica quatro condições relevantes:

  • vetor de ataque por rede adjacente, identificado como AV:A;
  • baixa complexidade de ataque, AC:L;
  • nenhum privilégio prévio exigido, PR:N;
  • nenhuma interação do usuário necessária, UI:N.

A pontuação CVSS 3.1 atribuída pela CISA-ADP é 8,8, classificada como alta. Na prática, isso significa que tocar em um link, abrir um arquivo ou confirmar uma ação não é apontado como requisito para a exploração descrita.

O boletim de setembro da Google lista a CVE-2026-58704 no componente de modem do Pixel, mas não a vincula a modelos específicos. A identificação do aparelho afetado, o método usado nos ataques, as vítimas e a identidade dos invasores também não foram divulgados.

Por que a inclusão no catálogo da CISA importa

O catálogo da CISA reúne vulnerabilidades que a agência considera exploradas na prática. A entrada da CVE-2026-58704 reforça a urgência da correção para organizações sujeitas às orientações federais dos Estados Unidos e funciona como um sinal de prioridade para a gestão de riscos em outros ambientes.

A entrada também estabeleceu 19 de setembro de 2026 como prazo de remediação para as agências do Poder Executivo Civil Federal dos Estados Unidos. Para usuários comuns, a orientação aplicável é instalar a atualização do Pixel assim que ela estiver disponível no aparelho.

Qual atualização o proprietário do Pixel deve verificar

A Google informa que o nível de patch de segurança 2026-09-05 ou posterior corrige os problemas listados no boletim de setembro, incluindo a CVE-2026-58704. No Pixel, abra as configurações de segurança e procure o nível do patch instalado; se a data for anterior, instale a atualização oferecida pelo sistema.

A falha não traz, nas informações divulgadas, um indicador visível específico que permita ao usuário identificar uma possível exploração. Quem suspeitar de comprometimento anterior à atualização pode trocar credenciais sensíveis e acompanhar as contas em busca de atividades não autorizadas.