Google закрыла активно эксплуатируемую 0-day в Pixel

Google выпустила сентябрьский пакет обновлений безопасности для устройств Pixel, закрыв в общей сложности 110 уязвимостей. Среди них — одна уязвимость нулевого дня, которая, по данным компании, уже применяется в целенаправленных атаках.

Уязвимость в модеме

Проблема с идентификатором CVE-2026-58704 связана с некорректной авторизацией и сбоем защитных механизмов в подсистеме сотового модема. По словам Google, логическая ошибка в коде позволяет обойти проверку разрешений. В результате атакующий, находящийся в смежной сети и обладающий базовыми привилегиями на устройстве, может повысить свои права. Атака отнесена к категории низкой сложности и не требует никаких действий со стороны пользователя.

Компания отмечает, что имеются признаки «ограниченной, целенаправленной эксплуатации» этой уязвимости. Все поддерживаемые устройства Google получат обновление до уровня патча 2026-09-05, и Google призывает пользователей установить его.

Ещё 109 исправлений

Остальные 109 закрытых проблем включают 12 уязвимостей, допускающих удалённое выполнение кода, и 89 уязвимостей повышения привилегий с критическим или высоким уровнем опасности.

Напомним, что Pixel хотя и работают на Android, получают отдельные обновления безопасности — в отличие от общего ежемесячного набора патчей для прочих производителей. Причина в том, что аппаратная платформа этих смартфонов полностью контролируется Google и обладает эксклюзивными возможностями. Чтобы установить обновление, владельцу Pixel нужно открыть «Настройки → Безопасность и конфиденциальность → Система и обновления → Обновление системы безопасности» и перезагрузить устройство.

Это не первый актуальный zero-day в мобильной экосистеме Google за год. В июне компания закрыла активно эксплуатируемую уязвимость Android Framework (CVE-2025-48595), позволявшую выполнять код и повышать привилегии на устройствах с Android 14 и новее. А ещё месяцем ранее Google пересмотрела свои программы вознаграждений за уязвимости в Android и Chrome: выплаты за ошибки, которые проще найти с помощью искусственного интеллекта, урезали, но за отдельные эксплойты для Android по-прежнему готовы платить до 1,5 млн долларов.

Источник: Bleeping Computer