Google patcha zero-day Android su Pixel: 110 falle, una sfruttata

Google ha rilasciato il 16 settembre 2026 il bollettino di sicurezza settembre per i dispositivi Pixel, correggendo 110 vulnerabilità. Tra queste, CVE-2026-58704 è una zero-day nel sottocomponente Cellular Modem che la società conferma essere sfruttata in attacchi "limited, targeted". La falla permette escalation di privilegi da rete adiacente senza interazione utente, un profilo che riporta il rischio fisico-prossimale al centro del perimetro mobile.

Il meccanismo: quando il modem smette di chiedere permesso

La documentazione di Google, riportata da BleepingComputer, descrive CVE-2026-58704 come una improper authorization generata da un logic error nel codice del Cellular Modem. Il difetto consente il bypass dei controlli di permesso: un attaccante con accesso a rete adiacente — tipicamente cellulare o WiFi a corto raggio — e privilegi base sul dispositivo ottiene l'escalation senza che l'utente debba interagire.

Il record NVD per CVE-2026-58704 corbora questa ricostruzione con il vettore CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, codificato come CWE-285 (Improper Authorization) e CWE-693 (Protection Mechanism Failure). Il punteggio calcolato è 8.0, classificazione HIGH. La triade di impatto completo — riservatezza, integrità, disponibilità al massimo livello — indica che il compromesso del modem può propagarsi verso il kernel Android con privilegi elevati.

Il confine tra stack di rete cellulare e kernel è storicamente opaco: il firmware modem gestisce protocolli complessi (3G, 4G, 5G, WiFi calling) con visibilità diretta su frame radio e allocazioni di memoria. Un logic error in questo strato bypassa le barriere applicative e, in assenza di sandboxing rigida tra baseband e sistema operativo, espone superfici normalmente protette.

Il vettore dimenticato: perché la rete adiacente conta

L'angolo di rete adiacente — adjacent network, nel lessico CVSS — è spesso sottovalutato rispetto all'attack vector network (internet-routable). La distinzione non è semantica: richiede prossimità fisica o accesso a infrastruttura locale, ma esclude la necessità di compromettere router, firewall o servizi esposti su WAN.

La convergenza di due fattori rende questo vettore rilevante oltre la cronaca. Da un lato, la diffusione di fake cell tower e IMSI catcher a costi decrescenti ha democratizzato l'accesso a reti cellulari malevole: hardware SDR (software-defined radio) e stack open source come srsRAN abbassano la soglia tecnica per operare stazioni base rogue. Dall'altro, la concentrazione di funzioni critiche nel modem — gestione chiamate, SMS crittografati, allocazione bearer, handover tra celle — amplifica il payoff di un exploit riuscito.

Non emergono sovrapposizioni infrastrutturali che colleghino CVE-2026-58704 a campagne attribuite pubblicamente. Il dossier non specifica se Google abbia rilevato exploit direttamente o tramite partner threat intelligence, né delinea la timeline esatta tra scoperta e correzione.

Il contesto: 110 falle e un pattern ricorrente su Pixel

Le patch di settembre 2026 comprendono, oltre alla zero-day, 12 vulnerabilità RCE e 89 privilege escalation classificate critical o high. Il numero totale — 110 — è rilevante per la superficie d'attacco esposta anche su piattaforma hardware controllata direttamente da Google. I dispositivi Pixel ricevono aggiornamenti separati rispetto al programma Android standard: Google gestisce il firmware proprietario legato ai componenti Tensor e ai sottosistemi di comunicazione.

Questo è il secondo zero-day Pixel nel 2026. In giugno, Google aveva già corretto CVE-2025-48595 nel framework Android, anch'essa con exploit attivo segnalato. La ricorrenza di flaw zero-day sulla linea Pixel — posizionata come riferimento per sicurezza Android — solleva tensioni sulla supply chain dei modem e sulla velocità di risposta rispetto agli OEM che dipendono da patch Qualcomm o MediaKit.

"There are indications that CVE-2026-58704 may be under limited, targeted exploitation" — Google security advisory

Cosa fare adesso

• Applicare immediatamente l'aggiornamento al livello patch 2026-09-05 su tutti i dispositivi Pixel supportati
• Verificare che il livello patch di sicurezza riportato in Impostazioni > Sicurezza corrisponda effettivamente al rilascio settembre 2026
• In contesti di alto rischio (giornalisti, attivisti, dirigenti), ridurre l'esposizione a reti cellulari non attendibili e valutare il disattivamento del 5G non essenziale fino a conferma di applicazione patch
• Monitorare il bollettino Google e il catalogo CISA KEV per eventuale aggiunta futura di CVE-2026-58704

Perché il modem resta il punto cieco della catena

La sicurezza mobile si è concentrata su app store, sandbox applicative e crittografia end-to-end, lasciando il firmware modem come terra di nessuno auditabile. I modem sono spesso blob binari forniti da Qualcomm, MediaTek o Samsung LSI, con cicli di patch che non coincidono con quelli del sistema operativo. Google ha parzialmente invertito questa tendenza con i chip Tensor e il controllo verticale su Pixel, ma la persistenza di logic error nel sottosistema cellulare dimostra che la superficie rimane vasta.

La natura del vettore — rete adiacente, non internet — complica anche la detection tradizionale. Nessun firewall perimetrale, nessun WAF, nessun monitoraggio del traffico aziendale rileva una stazione base rogue o un handshake cellulare anomalo. L'attacco avviene fuori dal perimetro visibile delle SOC, in uno spazio regolato da standard 3GPP che privilegiano l'interoperabilità sulla verifica crittografica rigorosa.

Il dato più solido resta il numero: 110 vulnerabilità in un singolo ciclo patch, con una zero-day già sfruttata. Per il settore, questo conferma che la frammentazione Android — Pixel aggiornato, OEM in ritardo, carrier che aggiungono layer di test — non è un problema di distribuzione ma di architettura. Finché il modem sarà un black box con privilegi di kernel, il confine tra "remoto su internet" e "vicino fisicamente" continuerà a offuscarsi.

FAQ

La vulnerabilità interessa solo i Pixel?

Il bollettino Google e le patch rilasciate riguardano espressamente i dispositivi Pixel. Il dossier non specifica se CVE-2026-58704 interessi anche dispositivi Android di altri vendor con modem Qualcomm o simili.

Cosa significa "rete adiacente" in pratica?

Nel framework CVSS, "adjacent network" (AV:A) indica che l'attaccante deve trovarsi sulla stessa rete fisica o logica di livello data link — tipicamente WiFi o cellulare — ma non necessariamente su internet. La prossimità può essere ottenuta con stazioni base rogue o hotspot malevoli.

Il CVSS 8.0 è confermato da Google?

No. Il punteggio CVSS 8.0 con vettore completo deriva dal record NVD ufficiale, non dal bollettino Google. BleepingComputer riporta la descrizione tecnica di Google; il punteggio numerico è nel record CVE-2026-58704 gestito da NVD.

Fonti

• https://www.bleepingcomputer.com/news/security/google-fixes-actively-exploited-android-zero-day-on-pixel-devices/
• https://thehackernews.com/2026/09/papercut-replaces-emergency-patches.html
• https://thehackernews.com/2026/09/gitlab-cvss-10-file-read-flaw-draws-in.html
• https://blog.talosintelligence.com/microsoft-patch-tuesday-for-september-2026/
• https://radar.offseq.com/threat/google-fixes-one-actively-exploited-android-zero-d-1d0b0683
• https://nvd.nist.gov/vuln/detail/cve-2026-58704
• https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
• https://www.bleepingcomputer.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti