Googleは9月16日、Pixelスマートフォンの一部が、端末に搭載されたセルラーモデムの脆弱性を悪用した攻撃を受けていたことを明らかにしました。攻撃対象となった端末は限定的とみられますが、ユーザーによる操作を必要としない脆弱性が実際の攻撃に利用されていたことから、注意が必要です。
今回の問題は、Android向けに配信された2026年9月のセキュリティアップデートで修正された脆弱性の一つです。同アップデートでは200件を超えるセキュリティ問題が修正されていますが、その中でもGoogleはCVE-2026-58704について、限定的かつ標的を絞った攻撃に悪用された可能性があると明記しています。
Pixelのモデムに権限回避の問題
CVE-2026-58704は、Pixel端末などに搭載されるセルラーモデムのコードに存在するロジック上の問題です。これによって権限チェックを回避され、攻撃者が追加の実行権限を持っていなくても、リモートから権限を昇格できる可能性がありました。
特に注意すべきなのは、悪用にユーザーの操作を必要としない点です。つまり、ユーザーが不審なリンクを開いたり、悪意のあるアプリをインストールしたりしなくても、脆弱性が攻撃に利用される可能性があります。
現時点では、Googleはこの脆弱性が実際にどのような手順で悪用されたのか、また具体的にどのPixelモデルが攻撃対象になったのかについて、詳しい情報を公開していません。
CISAも実際の悪用を確認
米国サイバーセキュリティ・インフラストラクチャ庁（CISA）も、この脆弱性を既知の悪用済み脆弱性として登録しています。CISAによると、Pixel端末にはセルラーモデムにおける不適切な認証の問題が存在しており、実際に攻撃へ利用されたことが確認されています。
CISAは、こうした脆弱性が悪意のあるサイバー攻撃者による頻繁な攻撃経路になっており、特に政府機関などに大きなリスクをもたらす可能性があるとしています。
海外メディアでは、今回の攻撃についてユーザー側の操作を必要としない「ゼロクリック攻撃」とも報じられています。ただし、現段階では攻撃者の正体や具体的な標的、攻撃の詳細については明らかになっていません。
Pixelユーザーは9月アップデートの適用を
今回の脆弱性は、2026年9月のPixel向けセキュリティアップデートで修正されています。そのため、Pixelスマートフォンを利用している場合は、アップデートが配信されていないか確認し、適用しておくことが重要です。
今回のケースでは、単なる潜在的な脆弱性ではなく、実際にPixel端末を狙った攻撃で悪用されたことがGoogleやCISAによって確認されています。対象となった端末は限定的とされていますが、ユーザー操作を必要としないタイプの問題だっただけに、最新のセキュリティパッチを適用しておくことが重要になりそうです。
