Die Schwachstelle zur Rechteausweitung CVE-2026-58704 im Mobilfunkmodem der Smartphones Google Pixel wurde am 16. September 2026 mit einer Frist zur Behebung bis 19. September 2026 in den CISA-Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Laut dem Sicherheitsbulletin von Google hat das Unternehmen Anzeichen einer „begrenzten, zielgerichteten Ausnutzung“ dieser Schwachstelle festgestellt, ohne jedoch Details zu den Angriffen oder eine Zuordnung der Angreifer offenzulegen. Besitzer von Pixel-Geräten müssen umgehend das Sicherheitsupdate mit Patch-Level 2026-09-05 oder neuer installieren.
Technische Merkmale von CVE-2026-58704
Gemäß der Beschreibung in der NVD-Datenbank handelt es sich bei der Schwachstelle um eine Umgehung von Berechtigungen, die durch einen logischen Fehler im Code des Pixel-Mobilfunkmodems verursacht wird. Die angegebene CVSS-Bewertung beträgt 8.0 (hohe Kritikalität), wobei die Stelle, die diese Bewertung vergeben hat, in den verfügbaren Unterlagen nicht genannt ist.
Wesentliche Parameter der Schwachstelle:
- Typ: Rechteausweitung (privilege escalation)
- Angriffsvektor: entfernte Ausnutzung auf Ebene proximalen oder angrenzenden Zugriffs
- Benutzerinteraktion: nicht erforderlich
- Zusätzliche Berechtigungen: nicht erforderlich
- Betroffene Komponente: Cellular Modem (Mobilfunkmodem) der Google-Pixel-Geräte
Die Formulierung „proximaler oder angrenzender Zugriff“ weist darauf hin, dass sich der Angreifer vermutlich im Funkradius der Mobilfunkverbindung des Geräts oder in derselben Netzwerkumgebung befinden muss. Dadurch werden die möglichen Angriffsszenarien im Vergleich zu einer vollständig entfernten Ausnutzung über das Internet eingeschränkt, ohne jedoch die Kritikalität für zielgerichtete Angriffe zu mindern – genau diese Art der Ausnutzung beschreibt Google.
Umfang des September-Updates
Neben CVE-2026-58704 behebt das Pixel-Update für September 2026 Berichten zufolge weitere 109 Sicherheitslücken:
- 88 Schwachstellen zur Rechteausweitung
- 10 Schwachstellen zur Informationsoffenlegung
- 9 Schwachstellen zur Remote Code Execution
- 2 Denial-of-Service-Schwachstellen (DoS)
Darunter befinden sich zwei hochkritische Schwachstellen in Kernel-Komponenten: CVE-2026-56914 und CVE-2026-58773 (beide: Rechteausweitung). Besondere Aufmerksamkeit verdienen 46 Schwachstellen mit kritischer Einstufung in Komponenten wie BigOcean, dem Bootloader, der IP Multimedia Subsystem-Teilschicht sowie der Trusted Execution Environment. Diese Schwachstellen können zu Rechteausweitung und Remote Code Execution führen.
Die Dominanz der Schwachstellen zur Rechteausweitung (88 von 109, also mehr als 80 %) deutet auf ein systemisches Problem bei der Zugriffstrennung in verschiedenen Komponenten der Pixel-Plattform hin.
Auswirkungsbewertung
Die Aufnahme von CVE-2026-58704 in den CISA-KEV-Katalog bedeutet, dass die Behörde die Ausnutzung der Schwachstelle bestätigt und sie als vorrangig zu beheben einstuft. Für Organisationen, die der Richtlinie BOD 22-01 unterliegen, ist die dreitägige Frist zur Behebung (vom 16. bis 19. September) verbindlich.
Eine Schwachstelle im Mobilfunkmodem ist besonders gefährlich, da diese Komponente auf einer niedrigen Ebene des Stacks arbeitet und Daten aus externen Funkkanälen verarbeitet. Eine erfolgreiche Ausnutzung kann einem Angreifer privilegierten Zugriff auf das Gerät verschaffen, ohne dass der Besitzer irgendetwas tun muss.
Das Fehlen einer Attribution und von Details zu den Angriffen ist typisch für zielgerichtete Operationen, die mit Aktivitäten von Geheimdiensten oder kommerziellen Anbietern von Überwachungstechnologien in Zusammenhang stehen können. Derzeit gibt es jedoch keine bestätigten Hinweise auf eine konkrete Zuordnung.
Es ist erwähnenswert, dass dies nicht der erste Fall der Ausnutzung von Schwachstellen in Google-Produkten im Jahr 2026 ist. Im Juni hat Google die Schwachstelle CVE-2025-48595 (CVSS 8.4) in der Komponente Android Framework behoben, die laut Google ebenfalls aktiv ausgenutzt wurde. Wir haben bereits über diese Schwachstelle berichtet.
Empfehlungen zur Behebung
Vorrangige Maßnahmen für Besitzer von Pixel-Geräten:
- Umgehend den Sicherheits-Patch-Level auf dem Gerät prüfen: Einstellungen → Sicherheit und Datenschutz. Ziel-Patch-Level: 2026-09-05 oder neuer.
- Update installieren, sofern verfügbar. Ist kein Update verfügbar, sollte täglich auf neue Updates geprüft werden, bis es erscheint.
- Für Organisationen, die einen Gerätepark aus Pixel-Geräten verwalten: den Rollout des Updates unter Berücksichtigung der CISA-KEV-Frist bis zum 19. September 2026 priorisieren.
Angesichts der Aufnahme von CVE-2026-58704 in den CISA-KEV-Katalog und der dreitägigen Frist zur Behebung darf die Installation des September-Sicherheitsupdates für Pixel nicht aufgeschoben werden. Das Update schließt nicht nur die ausgenutzte Modem-Schwachstelle, sondern auch 46 kritische Schwachstellen in zentralen Komponenten der Plattform – vom Bootloader bis zur Trusted Execution Environment.
