Google Pixel, le patch di settembre correggono una falla molto pericolosa

Google ha confermato che una vulnerabilità nel modem di alcuni suoi smartphone Pixel è stata sfruttata per un certo periodo di tempo. La falla è stata chiusa con le patch di sicurezza di Android di settembre, estremamente corpose (chiusi oltre 200 bug di sicurezza), e a quanto pare il numero di dispositivi effettivamente hackerati è “limitato”. Il bug è identificato con il codice CVE-2026-58704, ed è particolarmente pericoloso perché è “zero-click”, come si dice in gergo: significa che l’attacco può avvenire senza alcun intervento espresso e attivo da parte dell’utente, come l’apertura di un file, di un sito o l’installazione di un’app. E funziona completamente da remoto.

Secondo Google, il bug nasce da un errore logico che permette di aggirare alcuni controlli di autorizzazione grazie al quale un utente può causare, senza avere il controllo diretto del dispositivo, una privilege escalation a totale insaputa dell’utente. L’unica attenuante è che l’attacco deve essere condotto da una posizione prossima al dispositivo, secondo la classificazione tecnica della falla - il che lascia pensare che è necessario essere nel raggio d’azione di tecnologie a corto raggio come Wi-Fi, Bluetooth o, perché no?, UWB.

Google segnala che potrebbero esserci stati casi di exploit limitato e mirato, ma non ha reso pubblici dettagli sufficienti per stabilire con precisione come sia stata utilizzata la vulnerabilità, quali modelli Pixel siano stati coinvolti o chi abbia condotto gli attacchi. Anche la Cybersecurity and Infrastructure Security Agency statunitense, comunque, ha inserito CVE-2026-58704 tra le vulnerabilità note per essere state sfruttate. L’agenzia descrive il problema come una vulnerabilità di autorizzazione impropria presente nel modem cellulare dei dispositivi Google Pixel e sottolinea il rischio rappresentato da questa categoria di falle per le organizzazioni pubbliche.

CLICCA QUI PER CONTINUARE A LEGGERE