谷歌确认Pixel零点击漏洞被利用 用户需升级九月安全补丁进行修复

16日，谷歌在九月Pixel安全公告中确认，编号CVE-2026-58704的蜂窝基带漏洞可能正被有限、定向利用，该漏洞允许攻击者在用户无需任何操作的情况下完成权限提升，属于零点击攻击路径，现已随九月安全更新修复。

据了解，该漏洞出在Pixel的Cellular Modem，也就是负责连接蜂窝网络的基带模块。根据美国国家漏洞库的描述，代码逻辑错误会导致权限检查被绕过，攻击者无需额外执行权限，即可在近距离场景下实现远程提权，且整个过程不需要机主点击链接或打开文件。

这也就意味着，受害者几乎察觉不到触发动作，谷歌称该漏洞CVSS评分为8.0，严重程度为高。

TechCrunch指出，这类无需交互的基带漏洞常被间谍软件厂商用于向政府和执法机构出售的数据窃取工具，目前谷歌未说明本次利用者身份，也未公开具体受影响机型和攻击细节。

美国网络安全与基础设施安全局在16日将CVE-2026-58704加入已知被利用漏洞目录，要求联邦文职机构在9月19日前完成修补，理由是该类漏洞常被恶意行为者当作攻击入口，目录条目写明，谷歌Pixel设备的蜂窝基带存在不当授权问题，逻辑错误可能允许攻击者绕过权限检查并提升权限。

除该漏洞外，谷歌本月还在Pixel专用公告中修复了另外109个安全问题，其中88个涉及权限提升，10个涉及信息泄露，9个涉及远程代码执行，2个涉及拒绝服务。

九月更新同时覆盖Android 17 QPR1，面向Pixel 6至Pixel 11系列等机型推送，全球版本号为CP3A.260905.009，安全补丁级别达到2026-09-05或更高即可覆盖已修复问题。