Google ha rilasciato una patch d'emergenza per i dispositivi Pixel dopo la scoperta di una vulnerabilità zero-day già sfruttata in attacchi mirati. L'aggiornamento di settembre 2026 corregge 110 falle, tra cui 12 critiche per esecuzione di codice remoto.
Un errore nel modem dei Pixel ha permesso ad alcuni attaccanti di sfruttare la vulnerabilità CVE-2026-58704, già usata in attacchi mirati. Google ha quindi pubblicato una patch d'emergenza per tutti i dispositivi supportati. Non serve alcuna azione da parte dell'utente: basta essere collegati a una rete compromessa perché un aggressore possa ottenere privilegi di sistema elevati.
Il bollettino di sicurezza del 16 settembre 2026 è diretto: "Ci sono indicazioni che CVE-2026-58704 possa essere sotto sfruttamento limitato e mirato". Il problema si trova nel subcomponente modem, che gestisce la connettività cellulare, e nasce da un errore nei controlli di autorizzazione. Un attaccante con accesso a una rete vicina, come un hotspot Wi-Fi compromesso o una cella mobile malevola, può aggirare le protezioni e prendere il controllo del dispositivo senza che la vittima se ne accorga.
Pixel sotto assedio e rischio per le aziende
Il problema non riguarda solo questo bug: l'aggiornamento di settembre 2026 risolve in totale 110 vulnerabilità, di cui 12 classificate come critiche per la possibilità di eseguire codice da remoto. Altre 89 falle sono legate a rischi di escalation dei privilegi, tutte di alta gravità. In Italia, il rischio aumenta per la diffusione di reti Wi-Fi pubbliche spesso poco sicure. Le aziende che forniscono Pixel ai dipendenti dovrebbero installare la patch subito per evitare la perdita di dati sensibili. Il bollettino ufficiale indica che il livello minimo di patch per essere protetti è quello del 5 settembre 2026 (dettagli aggiornamento Pixel).
L'attacco è semplice da eseguire e non richiede alcuna azione da parte dell'utente, rendendo la vulnerabilità particolarmente pericolosa. L'escalation dei privilegi consente a un aggressore di accedere a dati riservati, installare malware o prendere il controllo completo del dispositivo. Google invita tutti gli utenti ad aggiornare subito i propri Pixel, portando il livello di patch almeno al 5 settembre 2026. La vulnerabilità, pubblicata dal National Vulnerability Database il 15 settembre 2026, riguarda un errore nei controlli di autorizzazione del modem cellulare e non si basa su malware installato tramite click.
La vulnerabilità CVE-2026-58704 consente l'escalation dei privilegi tramite un bypass delle autorizzazioni nel modem cellulare, senza necessità di interazione da parte dell'utente. Il rischio è particolarmente elevato in ambienti aziendali e su reti pubbliche non protette.
Agenzia per la Cybersicurezza Nazionale (ACN), Advisory tecnica [fonte]
Come aggiornare e perché i Pixel sono diversi
Per installare la patch, bisogna andare su Impostazioni, poi Sicurezza e Privacy, quindi Sistema e Aggiornamenti e infine Aggiornamento di sicurezza. Dopo aver selezionato Installa, il dispositivo va riavviato. A differenza di altri smartphone Android, i Pixel ricevono le patch direttamente da Google, senza dover aspettare l'adattamento dei produttori terzi. Questo garantisce una protezione più rapida rispetto a Samsung, OnePlus, Xiaomi e altri marchi. L'aggiornamento di settembre 2026 è stato distribuito su 21 dispositivi, inclusi Pixel 6, 6a, 7, 7a, 8, 8a, 9, 9a, 10, 10a, Pixel Fold e Pixel Tablet, con build CP3A.260905.009 (elenco dispositivi aggiornati).
Non è la prima volta che Google interviene in emergenza: già a giugno aveva corretto una falla zero-day nel Framework Android (CVE-2025-48595) sfruttata in attacchi su dispositivi con Android 14 o versioni successive. Gli exploit sofisticati su Android sono in aumento, come mostrano anche recenti indagini su ransomware e spyware mobile.
Numeri, ricompense e raccomandazioni
L'aggiornamento di settembre 2026 risolve 110 falle, 12 delle quali critiche per esecuzione di codice remoto. Google ha anche aggiornato il programma di ricompense per la scoperta di vulnerabilità: il bounty massimo per exploit Android complessi arriva ora a 1,5 milioni di dollari, mentre i premi per bug facilmente individuabili tramite AI sono stati ridotti. Gli utenti possono verificare l'aggiornamento controllando in Impostazioni > Info sul telefono che la patch sia datata almeno 5 settembre 2026.
Google ha reagito rapidamente e ha comunicato in modo trasparente le modalità di attacco. La vera differenza, però, la fa la velocità con cui gli utenti installano le patch. In un contesto dove le minacce cambiano rapidamente, chi usa Pixel ha un vantaggio: la protezione arriva prima, ma solo se si aggiorna senza aspettare.
