概要
Googleは9月16日、Pixel端末のセルラーモデムに存在する権限昇格の脆弱性(CVE-2026-58704、CVSSスコア8.0)が、限定的かつ標的型の攻撃で実際に悪用されていたことを明らかにした。原因はモデムのコード内にあるロジックエラーで、権限チェックをバイパスできてしまう不備だという。攻撃には隣接ネットワークへのアクセスと基本的なデバイス権限があれば足り、複雑度の低い手法かつユーザー操作を一切必要としないゼロクリック型の攻撃として成立する点が特徴だ。悪用されればモデムのサンドボックス環境の外にあるデータへアクセスされるおそれがある。Googleは攻撃者の身元や具体的な手口については明らかにしていないが、一部のPixel利用者が実際に被害を受けたと認めており、広報担当者は追加のコメントを控えている。
修正の内容と対応状況
この脆弱性は2026年9月のAndroidセキュリティ更新でパッチ適用済みで、セキュリティパッチレベル2026-09-05以降を適用済みの端末では影響を受けない。Pixelはハードウェアを自社で管理しているため、他のAndroid OEM機とは別のスケジュールで更新が提供されている。利用者は「設定」>「セキュリティとプライバシー」>「システムとアップデート」>「セキュリティアップデート」から更新状況を確認し、再起動を済ませる必要がある。同月の更新ではCVE-2026-58704に加えて109件の脆弱性が修正されており、BigOcean、ブートローダー、IMS、TEEなどのコンポーネントに関わる46件の重大(Critical)な脆弱性、88件の権限昇格の脆弱性、9件の遠隔コード実行(RCE)の脆弱性が含まれるという。米CISAは9月16日付でCVE-2026-58704を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関に対して9月19日までの3日以内にパッチ適用を求めている。
背景と今後の見通し
モデムの権限昇格の欠陥は、こうした能力を政府機関や法執行機関に販売するサーベイランスベンダーやスパイウェア開発企業によって悪用される事例が多いことが知られており、今回の限定的・標的型という攻撃の性質もこのパターンに合致する可能性が指摘されている。Googleは今年6月にもActively ExploitedとされたAndroid Frameworkのゼロデイ(CVE-2025-48595)を修正しており、モバイル端末を狙った高度な標的型攻撃への対応が続いている状況だ。今回のケースはPixelのモデムという通信の入口に近いコンポーネントが狙われた点で、通常のアプリ層の脆弱性とは異なるリスクを示しており、通信事業者や端末メーカーを含めたサプライチェーン全体でのセキュリティ対応の重要性を改めて浮き立たせている。