OWN NEWS GATHER
← 戻る
cve

Google Pixelのセルラーモデムに特権昇格の脆弱性、近接通信経由で悪用される恐れ

要点

  • 米国家脆弱性データベース（NVD）にて、Google端末に影響する脆弱性「CVE-2026-58704」が公開された。

  • セルラーモデム内の論理エラーにより、アクセス権限のバイパスが生じる恐れがある。

  • 近接ネットワークから追加権限を必要とせず、ユーザー操作なしに特権昇格が行われるリスクがある。

  • 米CISA-ADPによるCVSS v3.1の基本スコアは「8.0（HIGH）」と評価されている。

  • Google Devicesが情報源となっており、2026年9月付のPixelセキュリティ速報が参照先として示されている。

  • 米国立標準技術研究所（NIST）が運用する国家脆弱性データベース（NVD: National Vulnerability Database）において、GoogleのAndroid端末に影響を与えるセキュリティ脆弱性「CVE-2026-58704」の情報が、2026年9月15日付で公開された（翌9月16日更新）。

  • 本脆弱性は、端末の通信を司るセルラーモデム内の論理エラーに起因し、権限バイパスが生じるというものだ。悪用された場合、近接ネットワーク経由でユーザー操作を介さずに特権昇格が引き起こされる恐れがある。米サイバーセキュリティ・インフラセキュリティ庁の分析プログラム（CISA-ADP）は、共通脆弱性評価システム（CVSS v3.1）の基本スコアを「8.0（HIGH）」と評価している。

セルラーモデムの論理エラーと権限バイパス

公開情報によると、脆弱性「CVE-2026-58704」はセルラーモデム（携帯回線のデータ通信や通話を制御する通信用コンポーネント）のプログラムコード内に存在する論理エラーに起因している。

このエラーによってアクセス権限の検証処理に不備が生じ、本来許可されていない操作を実行できる権限バイパス（Permission Bypass）が発生する恐れがあるという。

本脆弱性の弱点タイプ（CWE）としては、不適切な権限認可を示す「CWE-285（Improper Authorization）」と、保護メカニズムの失敗を示す「CWE-693（Protection Mechanism Failure）」の2件が割り当てられている。いずれもシステムのアクセス制御や防御機能が正常に機能しない状態を示す分類である。

攻撃成立の条件と特権昇格のリスク

NVDの記述によると、本脆弱性が悪用された場合、リモート（近接・隣接ネットワーク経由）からの特権昇格（通常権限から管理者権限などの上位権限を不正に取得すること）につながる可能性があるとされている。

攻撃成立の要件として、悪用に際してユーザーの操作や介入（User Interaction）が一切不要であることが明記されている。利用者が何らかの操作を行わなくても攻撃が成立し得る。

また、攻撃を実行するために追加の実行権限を事前に取得している必要もないとされている。攻撃者は端末と近接・隣接するネットワーク上に存在する必要があるものの、複雑な手順や高度な事前権限なしに悪用が可能とされている。

CVSS評価「8.0」の詳細内訳

本脆弱性に対する深刻度評価について、NISTによる独自の詳細評価は準備中（N/A）とされている一方、米CISA-ADPによる詳細な評価値が登録されている。CISA-ADPが算定したCVSS v3.1の基本スコアは「8.0」で、深刻度は「HIGH（高）」と判定された。

登録された評価ベクトル（CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）の内容は以下の通りである。

  • 攻撃元区分（AV:A）: 隣接ネットワーク（Adjacent）。近接した通信範囲からの攻撃が可能であることを示す。
  • 攻撃条件の複雑さ（AC:L）: 低（Low）。攻撃の実行に複雑な前提条件を要しない。
  • 必要な特権レベル（PR:L）: 低（Low）。事前に高い権限を保持していなくても攻撃が可能。
  • 利用者の関与（UI:N）: なし（None）。ユーザーによる操作や応答を必要としない。
  • スコープ（S:U）: 変更なし（Unchanged）。影響は対象システム内で完結する。
  • 機密性・完全性・可用性への影響（C:H / I:H / A:H）: いずれも高（High）。情報の漏えい、データの改ざん、通信機能等の停止の恐れがある。

機密性・完全性・可用性の3要素すべてで影響度が「High」と評価されており、権限昇格に至った際の影響の大きさが示されている。

影響対象と関連情報

本脆弱性の情報源（Source）は「Google Devices」として登録されており、影響対象製品にはGoogleの「Android」および「影響を受けるAndroidカーネル（Affected Android kernel）」が指定されている。

参照先として、Googleが公開しているPixel端末向けセキュリティ情報「Pixel Update Bulletin（2026年9月1日付）」のURL（https://source.android.com/docs/security/bulletin/pixel/2026/2026-09-01）が提示されている。本情報は2026年9月15日にNVDのデータセットに登録され、9月16日に更新が行われた。

元URL