Mit dem jüngsten Update-Paket für seine Pixel-Smartphones hat Google eine Zero-Day-Schwachstelle beseitigt, die bereits in gezielten Angriffen missbraucht wurde. Die Lücke trägt die Kennung CVE-2026-58704, ist als hochgradig schwerwiegend eingestuft und steckt in der Mobilfunkmodem-Komponente der Geräte. Die Patches wurden am 15. September angekündigt.
Im CVE-Eintrag heißt es, im Mobilfunkmodem sei aufgrund eines Logikfehlers im Code eine Umgehung von Berechtigungen möglich. Dies könne zu einer aus der Nähe auslösbaren Rechteausweitung führen, ohne dass zusätzliche Ausführungsrechte benötigt würden. Eine Interaktion der Nutzer ist nicht erforderlich – der Angriff funktioniert also ohne jedes Zutun des Opfers.
Google spricht von einer „begrenzten, gezielten Ausnutzung“, nennt aber keinen konkreten Angreifer. Die Kombination aus einer Schwachstelle auf Modemebene, dem Verzicht auf jede Nutzerinteraktion und der zurückhaltenden Formulierung des Herstellers entspricht dem Muster früherer Angriffe, die kommerziellen Spyware-Anbietern oder staatlich gestützten Akteuren zugeschrieben wurden.
Neben dem Zero-Day liefert Google mit den aktuellen Pixel-Updates die jüngsten Android-Sicherheitspatches aus und schließt mehr als 100 weitere Schwachstellen, die speziell Pixel-Geräte betreffen. Knapp 50 davon sind als kritisch eingestuft; sie ermöglichen das Ausführen von Schadcode aus der Ferne oder eine Rechteausweitung.
Die kritischen Lücken verteilen sich über zahlreiche Komponenten: das Multimedia-Subsystem, die VPU, das Modem, die Telefoniefunktionen, den Bootloader, die TEE sowie libpixelimsmedia, GDMC, GSA, GPCA und weitere Bestandteile. Der überwiegende Teil der übrigen Schwachstellen ist als hochgradig schwerwiegend eingestuft. Ihre Ausnutzung kann zu Codeausführung aus der Ferne, Rechteausweitung, dem Abfluss von Informationen oder zu Denial-of-Service-Zuständen führen.