Google、Pixelのモデム脆弱性を修正——限定的な標的型攻撃への悪用を確認

要点

• GoogleがPixel端末向けに2026年9月のセキュリティ更新を公開し、悪用が確認されたモデムの脆弱性を修正した

• 修正された脆弱性「CVE-2026-58704」は、ユーザー操作なしに近接ネットワークから特権昇格が可能な欠陥である

• Googleは限定的かつ標的を絞った攻撃に悪用された兆候を公表したが、攻撃者の身元や手口の詳細は明かしていない

• 9月のアップデートでは合計110件の欠陥が修正され、46件の重大（Critical）な脆弱性への対処も含まれる

• 脆弱性を解消するには、セキュリティパッチレベル「2026-09-05」以降へのアップデートが必要となる

• 米Googleは、同社製スマートフォン「Pixel」シリーズのセルラーモデム（携帯電話通信網とのデータ送受信を担う通信機能）に存在する高深刻度のセキュリティ脆弱性が、実際のサイバー攻撃において悪用されていることを明らかにした。同社は2026年9月に公開したPixel向けセキュリティアップデートにおいてこの欠陥への修正を実施した。すでに限定的かつ標的を絞った攻撃の中で悪用された形跡が確認されているという。

ユーザー操作なしで特権昇格が可能なモデムの欠陥

今回悪用が確認されたのは、「CVE-2026-58704」として追跡されている脆弱性で、脆弱性の深刻度を示す共通評価指標であるCVSSのスコアは8.0（高深刻度）と判定されている。

米国国立標準技術研究所（NIST）の脆弱性データベース（NVD）における解説によると、この問題はセルラーモデムのプログラムコード内に生じた論理的なエラー（ロジックエラー）によって、本来制限されるべきアクセス権限が回避（パーミッションバイパス）されてしまうことに起因している。これにより、攻撃者は近接・隣接した通信範囲から、端末に追加の実行権限を持たない状態であっても、遠隔から特権昇格（制限された権限を不正に引き上げて上位の権限を奪取すること）を行える可能性があると説明されている。

特筆すべき点として、この脆弱性の悪用には被害者側の端末操作（ユーザーインタラクション）を必要としないことが挙げられている。ユーザーが不審なリンクを開いたりファイルをダウンロードしたりしなくても、近接した攻撃者によって権限昇格攻撃が成立し得る構造となっていた。

Googleは火曜日に公開したセキュリティアドバイザリの中で、本脆弱性が「限定的かつ標的を絞った攻撃において悪用されている可能性がある」との兆候を認めた。ただし、実際にどのような攻撃手口で悪用されていたのかという具体的な攻撃内容や、背後で関与している攻撃者グループ（脅威アクター）の正体・素性など、詳細な情報については開示を控えている。

9月更新では重大脆弱性46件を含む計110件の欠陥を修正

2026年9月のPixel向け月次セキュリティ更新プログラムにおいて、GoogleはCVE-2026-58704への対処に加えて、さらに109件のセキュリティ上の欠陥を同時に修正した。これにより、今回のアップデートで対応された脆弱性の総数は110件に上る。

修正された110件の脆弱性を影響の内訳別に見ると、最も大きな割合を占めているのが特権昇格に関するもので、全体の88件に達している。次いで端末内の非公開データなどが漏洩する恐れのある情報開示の欠陥が10件、遠隔から任意の不正なプログラムを実行される恐れがあるリモートコード実行（RCE）の脆弱性が9件、さらに端末や通信機能の正常な稼働を停止させられるサービス妨害（DoS）の脆弱性が2件となっている。

また、個別コンポーネントの修正内容には、OSの中核として動作するKernel（カーネル）コンポーネントで見つかった2件の高深刻度な特権昇格脆弱性（CVE-2026-56914およびCVE-2026-58773）が含まれている。

さらに、Pixel固有の各種コンポーネントにおいて、セキュリティリスクが極めて高い「重大（Critical）」に分類される脆弱性が計46件も対処された。これらは端末の起動を制御するプログラムであるBootloader（ブートローダー）をはじめ、音声通話などのマルチメディア通信を統合制御するIP Multimedia Subsystem（IMS）、機密データを安全に隔離して処理する保護領域であるTrusted Execution Environment（TEE）、およびBigOceanコンポーネントなどに分散して存在していたもので、いずれも特権昇格やリモートコード実行を引き起こす危険性を持っていたと報告されている。

セキュリティパッチレベルと端末の更新手順

今回公表されたすべてのセキュリティ脆弱性は、セキュリティパッチレベル「2026-09-05」以降を適用することで解消される。Pixelを利用しているユーザーに対しては、端末の「設定」アプリを開き、「セキュリティとプライバシー」の項目から最新のシステムバージョンへ更新するよう案内が行われている。

なお、Google製品における悪用が確認された脆弱性への対処としては、2026年6月にもAndroidの基本機能を提供するFrameworkコンポーネントに存在した高深刻度の脆弱性（CVE-2025-48595、CVSSスコア8.4）において、活発な悪用が確認されたことを受けて修正パッチが提供されていた経緯がある。