La vulnerabilidad de escalada de privilegios CVE-2026-58704 en el módem celular de los smartphones Google Pixel se incluyó en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA el 16 de septiembre de 2026, con una fecha límite de mitigación el 19 de septiembre de 2026. Según el boletín de Google, la empresa ha detectado indicios de «explotación limitada y dirigida» de esta vulnerabilidad, aunque no se han revelado detalles de los ataques ni la atribución de los atacantes. Los propietarios de dispositivos Pixel deben instalar de inmediato la actualización de seguridad con nivel de parche 2026-09-05 o posterior.
Características técnicas de CVE-2026-58704
Según la descripción de la base NVD, la vulnerabilidad consiste en un bypass de permisos provocado por un error lógico en el código del módem celular de Pixel. La puntuación CVSS declarada es 8.0 (alto nivel de gravedad), aunque en los materiales disponibles no se indica la entidad que asignó esta puntuación.
Parámetros clave de la vulnerabilidad:
- Tipo: escalada de privilegios (privilege escalation)
- Vector de ataque: explotación remota a nivel de acceso proximal o adyacente
- Interacción del usuario: no requerida
- Privilegios adicionales: no requeridos
- Componente afectado: Cellular Modem (módem celular) de los dispositivos Google Pixel
La formulación «acceso proximal o adyacente» indica que probablemente el atacante deba encontrarse dentro del radio de cobertura celular del dispositivo o en el mismo entorno de red. Esto reduce el abanico de posibles escenarios de ataque en comparación con una explotación completamente remota a través de internet, pero no disminuye la criticidad para los ataques dirigidos, que es precisamente el tipo de explotación que describe Google.
Alcance de la actualización de septiembre
Además de CVE-2026-58704, la actualización de septiembre de 2026 para Pixel, según se informa, corrige otras 109 vulnerabilidades de seguridad:
- 88 vulnerabilidades de escalada de privilegios
- 10 vulnerabilidades de divulgación de información
- 9 vulnerabilidades de ejecución remota de código
- 2 vulnerabilidades de denegación de servicio (DoS)
Entre ellas hay dos vulnerabilidades de alta gravedad en componentes del kernel: CVE-2026-56914 y CVE-2026-58773 (ambas de escalada de privilegios). Merecen especial atención 46 vulnerabilidades de gravedad crítica en componentes de Pixel como BigOcean, el cargador de arranque (Bootloader), el subsistema IP Multimedia Subsystem y el entorno de ejecución de confianza (Trusted Execution Environment). Estas vulnerabilidades pueden conducir a escalada de privilegios y ejecución remota de código.
El predominio de las vulnerabilidades de escalada de privilegios (88 de 109, es decir, más del 80 %) apunta a un problema sistémico con el control de acceso en los distintos componentes de la plataforma Pixel.
Evaluación del impacto
La inclusión de CVE-2026-58704 en el catálogo CISA KEV significa que la agencia confirma el hecho de la explotación de la vulnerabilidad y la considera prioritaria para su mitigación. Para las organizaciones sujetas a la directiva BOD 22-01, el plazo de mitigación de tres días (del 16 al 19 de septiembre) es obligatorio.
Una vulnerabilidad en el módem celular es especialmente peligrosa, ya que este componente opera en un nivel bajo de la pila y procesa datos procedentes de canales de radio externos. Una explotación exitosa puede otorgar al atacante acceso privilegiado al dispositivo sin ninguna acción por parte del propietario.
La ausencia de atribución y de detalles de los ataques es una situación típica en operaciones dirigidas, que pueden estar relacionadas con actividades de servicios de inteligencia o proveedores comerciales de herramientas de vigilancia. Sin embargo, por el momento no hay ninguna confirmación de una atribución concreta.
Cabe señalar que este no es el primer caso de explotación de vulnerabilidades en productos de Google en 2026. En junio, Google corrigió la vulnerabilidad CVE-2025-48595 (CVSS 8.4) en el componente Android Framework, que, según la propia empresa, también estaba siendo explotada activamente. Ya hemos escrito sobre esta vulnerabilidad anteriormente.
Recomendaciones de mitigación
Acciones prioritarias para los propietarios de dispositivos Pixel:
- Comprobar de inmediato el nivel de parche de seguridad en el dispositivo: Ajustes → Seguridad y privacidad. El nivel objetivo es 2026-09-05 o posterior.
- Instalar la actualización si está disponible. Si aún no lo está, comprobar su disponibilidad a diario hasta que aparezca.
- Para las organizaciones que gestionan un parque de dispositivos Pixel: priorizar el despliegue de la actualización teniendo en cuenta la fecha límite de CISA KEV, el 19 de septiembre de 2026.
Teniendo en cuenta la inclusión de CVE-2026-58704 en el catálogo CISA KEV y el plazo de mitigación de tres días, no se debe posponer la instalación de la actualización de seguridad de septiembre para Pixel. La actualización corrige no solo la vulnerabilidad del módem que está siendo explotada, sino también 46 vulnerabilidades críticas en componentes clave de la plataforma, desde el cargador de arranque hasta el entorno de ejecución de confianza.
