Google ha confermato che alcuni proprietari di Pixel sono stati bersagliati tramite uno zero-day nel modem, con privilege escalation e modalità zero-click. La vulnerabilità è ora corretta e catalogata come CVE-2026-58704. Il perimetro descritto è limitato e mirato: Google non ha nominato gli attaccanti. L'aggiornamento di sicurezza va installato quanto prima sui dispositivi raggiunti dalla patch.
Cosa implica uno zero-day sul modem
Un bug nel modem può essere sfruttato senza interazione dell'utente (zero-click) e, in questo caso, consentire un'escalation di privilegi sul dispositivo. Non serve aprire un link o installare un'app malevola: il vettore passa dalla stack radio.
Google inquadra l'uso come attacco mirato, non come campagna di massa: il rischio concreto è alto per i target selezionati, mentre la popolazione generale resta esposta finché non applica la patch.
CVE-2026-58704 e aggiornamento
Con l'assegnazione di CVE-2026-58704 la falla entra nel tracking pubblico delle vulnerabilità. La mitigazione ufficiale è l'aggiornamento di sistema/security patch distribuito da Google sui Pixel interessati.
Conviene verificare in Impostazioni → Sistema → Aggiornamento di sistema (o Security update) che il build installato includa la correzione; un riavvio dopo il download completa tipicamente l'applicazione.
Cosa fare adesso
Installa subito ogni patch di sicurezza disponibile, mantieni attivo il blocco schermo e limita le app con permessi elevati non necessari.
Google non ha identificato pubblicamente gli autori: in assenza di attribution ufficiale, l'unica leva concreta per l'utente resta aggiornare il telefono e monitorare eventuali avvisi di Google Play Protect o del supporto Pixel.