Die gefährlichste der aktuell geschlossenen Lücken steckt im Mobilfunkmodem der Pixel-Geräte. CVE-2026-58704 erreicht einen CVSS-Score von 8,0 und ermöglicht laut NVD-Eintrag des NIST eine Umgehung von Berechtigungen infolge eines Logikfehlers. Angreifer könnten daraus eine Rechteausweitung über die Funkschnittstelle aus räumlicher Nähe ableiten – ohne zusätzliche Ausführungsrechte und ohne Zutun der Betroffenen.
Google selbst bestätigte in seinem Hinweis vom Dienstag, dass Anzeichen für eine “begrenzte, gezielte Ausnutzung” vorliegen. Details zu den beobachteten Angriffen, zu möglichen Zielen oder zu den verantwortlichen Akteuren nannte das Unternehmen nicht – eine Zurückhaltung, die Google bei Hinweisen auf laufende Operationen regelmäßig übt.
Neben der Modem-Schwachstelle hat Google im September-2026-Update für Pixel-Geräte 109 weitere Sicherheitsprobleme beseitigt. Der Großteil davon, nämlich 88 Fehler, erlaubt eine Ausweitung von Rechten. Hinzu kommen zehn Lücken, über die sich Informationen abgreifen lassen, neun Schwachstellen mit der Möglichkeit zur Codeausführung aus der Ferne sowie zwei, die zu einer Dienstblockade (Denial of Service) führen können.
Zu den behobenen Problemen zählen zwei als hoch eingestufte Rechteausweitungen in Kernel-Komponenten, geführt als CVE-2026-56914 und CVE-2026-58773. Deutlich schwerer wiegen 46 als kritisch bewertete Schwachstellen in verschiedenen Pixel-Bestandteilen, darunter BigOcean, der Bootloader, das IP Multimedia Subsystem und die Trusted Execution Environment. Sie können ebenfalls zu einer Rechteausweitung oder zur Ausführung von Schadcode aus der Ferne führen.
Abgedeckt sind sämtliche genannten Fehler mit dem Sicherheits-Patch-Stand 2026-09-05 oder neuer. Den aktuellen Stand können Pixel-Nutzer in den Einstellungen unter “Sicherheit und Datenschutz” einsehen und das Update von dort anstoßen.
Es ist nicht der erste Fall dieser Art in diesem Jahr: Im Juni 2026 hatte Google Patches für eine als hoch eingestufte Schwachstelle in der Framework-Komponente von Android ausgeliefert. Die unter CVE-2025-48595 geführte Lücke mit einem CVSS-Wert von 8,4 wurde nach Angaben des Unternehmens ebenfalls aktiv ausgenutzt.