Google åtgärdar sårbarhet som utnyttjats i riktade attacker mot Pixel

Google har släppt säkerhetsuppdateringar för september 2026 för att åtgärda 110 sårbarheter som påverkar företagets Pixel enheter. Bland dessa finns en noll-dagars-brist som aktivt har utnyttjats i riktade attacker.

Företaget varnade på onsdagen för att det finns indikationer på att sårbarheten CVE-2026-58704 kan vara föremål för begränsat och riktat utnyttjande. Denna säkerhetsbrist med hög allvarlighetsgrad härrör från svagheter i behörighetskontroll och skyddsmekanismer som påverkar underkomponenten för modem. Enligt ett säkerhetsmeddelande finns ett möjligt kringgående av behörigheter på grund av ett logikfel i koden för det cellulära modemet.

Om sårbarheten utnyttjas framgångsrikt kan angripare med tillgång till ett närliggande nätverk och grundläggande behörigheter på den måltavla som valts eskalera sina behörigheter. Detta kan ske genom attacker med låg komplexitet som inte kräver någon interaktion från användaren. Det kan leda till fjärrstyrd eskalering av behörigheter utan att ytterligare exekveringsbehörigheter behövs.

Utöver noll-dagars-bristen identifierade Google 109 andra säkerhetsproblem i månadens bulletin för Pixel. Dessa inkluderar 12 sårbarheter för fjärrkörning av kod samt 89 sårbarheter för behörighetseskalering som klassificerats som kritiska eller av hög allvarlighetsgrad.

Alla stödda Google enheter kommer att få en uppdatering till patchnivån 2026-09-05. Pixel enheter får separata säkerhetsuppdateringar och buggfixar från de standardiserade månatliga patcharna som distribueras till andra Android tillverkare. Detta beror på den unika hårdvaruplattformen som Google kontrollerar direkt samt dess exklusiva funktioner och förmågor.

För att installera uppdateringarna måste användare gå till inställningar, sedan säkerhet och integritet, system och uppdateringar, samt säkerhetsuppdatering. Där ska de trycka på installera och starta om sina enheter för att slutföra processen.

Tidigare i juni åtgärdade Google en annan noll-dagars-brist i Android Framework, CVE-2025-48595, som utnyttjades i riktade attacker. Denna brist kunde tillåta angripare att köra kod och eskalera behörigheter på enheter med Android 14 eller senare. En månad före det meddelade företaget en översyn av sina program för belöningar vid upptäckt av sårbarheter i Android och Chrome. De minskade utbetalningarna för brister som är lättare att hitta med hjälp av artificiell intelligens, men erbjöd premier på upp till 1,5 miljoner dollar för vissa Android exploateringar.