Lỗ hổng zero-click trên modem Pixel bị khai thác
"Google disclosed CVE-2026-58704, a high-severity improper authorization vulnerability in Pixel phone cellular modems that can bypass permission checks and escalate privileges with no user interaction. The flaw was reportedly under limited, targeted exploitation before patching; CISA added it to the Known Exploited Vulnerabilities catalog and required federal agencies to remediate within three days."
Ảnh hưởng bảo mật cao do khai thác zero-click, có thể leo thang đặc quyền và đã bị ghi nhận khai thác thực tế.
Có thể ảnh hưởng đến thiết bị người dùng cuối, làm tăng rủi ro xâm nhập có chủ đích và tạo áp lực cho quy trình vá khẩn cấp.
Google đã công bố CVE-2026-58704, một lỗ hổng phân quyền không đúng mức độ nghiêm trọng cao trong modem di động của Pixel. Lỗi này có thể bỏ qua kiểm tra quyền và leo thang đặc quyền mà không cần tương tác của người dùng, nên có thể bị khai thác theo kiểu zero-click. Theo thông tin được công bố, lỗ hổng đã bị khai thác ở phạm vi hạn chế, có chủ đích trước khi bản vá được phát hành.
CISA đã đưa CVE-2026-58704 vào Known Exploited Vulnerabilities (KEV) và yêu cầu các cơ quan liên bang khắc phục trong 3 ngày, hạn chót là 19/9. Cơ quan này cảnh báo đây là kiểu lỗ hổng thường bị tác nhân tấn công lợi dụng và có thể gây rủi ro đáng kể cho môi trường doanh nghiệp.
Khuyến nghị kỹ thuật: ưu tiên cập nhật bản vá Pixel ngay khi có thể, kiểm tra tình trạng thiết bị trong đội ngũ sử dụng Pixel phone, và rà soát các chính sách quản lý thiết bị di động để bảo đảm triển khai bản vá nhanh. Với các tổ chức có yêu cầu bảo mật cao, nên theo dõi thêm các chỉ báo khai thác và tăng cường giám sát thiết bị đầu cuối.