Googleは火曜日、Pixelスマートフォンの所有者に対し、標的型攻撃で悪用されたゼロデイ脆弱性を修正したことを発表しました。
このゼロデイ脆弱性はCVE-2026-58704として追跡されており、Googleは「限定的かつ標的型の悪用」を確認していると述べています。
この脆弱性は深刻度が「高」と評価されており、Pixelのモデムコンポーネントに影響します。
CVE-2026-58704のCVEレコードには、「Cellular Modemにおいて、コード内のロジックエラーにより権限バイパスが発生する可能性があります。これにより、追加の実行権限を必要とせず、リモート(近接/隣接)での権限昇格につながる恐れがあります。悪用にユーザーの操作は必要ありません」と記載されています。
Googleはこの悪用を特定の脅威アクターに帰属させてはいませんが、モデムレベルかつゼロクリックというこの脆弱性の性質、そして同社が「限定的かつ標的型」と表現している点は、これまで商用スパイウェアベンダーや国家支援型アクターに関連づけられてきた過去の攻撃の特徴と一致しています。
最新のPixelアップデートには、最新のAndroidセキュリティパッチも含まれています。さらに、Pixelデバイス固有の脆弱性100件以上も解消されています。
深刻度が「重大」と評価された脆弱性は50件近くにのぼり、リモートコード実行や権限昇格を許す可能性があります。これらの重大な脆弱性は、マルチメディアサブシステム、VPU、モデム、電話機能、ブートローダー、TEE、libpixelimsmedia、GDMC、GSA、GPCAなど、複数のコンポーネントに影響しています。
残りの脆弱性の大半は深刻度「高」に分類されており、悪用されるとリモートコード実行、権限昇格、情報漏えい、サービス拒否(DoS)につながる可能性があります。
翻訳元: https://www.securityweek.com/pixel-modem-zero-day-exploited-in-targeted-attacks/
