Google schließt aktiv ausgenutzte Zero-Day-Lücke im Pixel-Modem bei gezielten Angriffen

Google veröffentlichte am 16. September sein Pixel-Sicherheitsupdate für September 2026 und schloss dabei 110 Schwachstellen, darunter eine aktiv ausgenutzte Zero-Day-Lücke mit der Kennung CVE-2026-58704. Die Lücke befindet sich im Modem-Subsystem der Pixel-Geräte und entsteht laut Googles eigenem Advisory durch einen Logikfehler, der eine Berechtigungsumgehung ermöglicht.

Ein Angreifer mit Zugriff auf ein angrenzendes Netzwerk und nur grundlegenden Berechtigungen auf dem Zielgerät kann die Lücke ausnutzen, um Berechtigungen ohne jegliche Nutzerinteraktion zu eskalieren. Google gibt an, Hinweise darauf zu haben, dass die Schwachstelle „möglicherweise begrenzt und gezielt ausgenutzt wird“ — eine Formulierung, die das Unternehmen normalerweise für Angriffe gegen bestimmte Einzelpersonen reserviert.

Das Update bringt unterstützte Pixel-Geräte auf den Patch-Stand 2026-09-05. Dies ist die zweite aktiv ausgenutzte Android-Zero-Day-Lücke, die Google in diesem Jahr offengelegt hat, nach CVE-2025-48595 im Juni.