Google vá lỗ hổng Modem Pixel trong bối cảnh có dấu hiệu bị khai thác có mục tiêu hạn chế

Google đã tiết lộ một lỗ hổng bảo mật mức độ nghiêm trọng cao trong Pixel Cellular Modem đang bị khai thác trong thực tế. Lỗ hổng này, được theo dõi là CVE-2026-58704 (điểm CVSS: 8.0), là một lỗi leo thang đặc quyền. "Trong Cellular Modem, có khả năng xảy ra bỏ qua quyền do lỗi logic trong mã nguồn," theo mô tả về lỗi này trong Cơ sở dữ liệu Lỗ hổng Quốc gia của NIST.

Lỗ hổng bảo mật Google Pixel Modem — Google vá lỗ hổng nghiêm trọng trong Pixel Cellular Modem

Google đã tiết lộ rằng một lỗ hổng bảo mật mức độ nghiêm trọng cao trong Pixel Cellular Modem của hãng đã bị khai thác trong thực tế.

Lỗ hổng này, được theo dõi với mã định danh CVE-2026-58704 (điểm CVSS: 8.0), là một lỗi leo thang đặc quyền (privilege escalation).

"Trong Cellular Modem, có khả năng xảy ra việc bỏ qua quyền hạn do một lỗi logic trong mã nguồn," theo mô tả về lỗi này trong Cơ sở dữ liệu Lỗ hổng Quốc gia (NVD) của NIST. "Điều này có thể dẫn đến việc leo thang đặc quyền từ xa (trong phạm vi gần/lân cận) mà không cần thêm đặc quyền thực thi bổ sung. Việc khai thác không yêu cầu sự tương tác từ phía người dùng."

Trong một thông báo phát hành vào thứ Ba, Google thừa nhận rằng họ đã tìm thấy các dấu hiệu cho thấy "CVE-2026-58704 có thể đang bị khai thác có mục tiêu và hạn chế", nhưng không cung cấp thêm chi tiết về bản chất của các cuộc tấn công cũng như danh tính của tác nhân đe dọa đứng sau chúng.

Bản cập nhật bảo mật Pixel tháng 9 năm 2026

Bên cạnh CVE-2026-58704, Google đã xử lý 109 lỗ hổng bảo mật khác trong bản cập nhật Pixel mới nhất cho tháng 9 năm 2026. Trong số đó, 88 lỗi cho phép leo thang đặc quyền, 10 lỗi tiết lộ thông tin, 9 lỗi thực thi mã từ xa (remote code execution), và 2 lỗi từ chối dịch vụ (DoS).

Các bản vá này bao gồm hai lỗ hổng leo thang đặc quyền mức độ nghiêm trọng cao trong các thành phần Kernel (CVE-2026-56914 và CVE-2026-58773), cũng như 46 lỗ hổng mức độ cực kỳ nghiêm trọng (critical-severity) trong nhiều thành phần khác nhau của Pixel như BigOcean, Bootloader, IP Multimedia Subsystem, và Trusted Execution Environment, vốn có thể dẫn đến leo thang đặc quyền và thực thi mã từ xa.

Mức vá bảo mật từ ngày 05-09-2026 trở về sau sẽ giải quyết tất cả các lỗi được xác định. Người dùng được khuyến nghị cập nhật thiết bị lên phiên bản mới nhất bằng cách truy cập vào Cài đặt > Bảo mật & quyền riêng tư.

Trước đó vào tháng 6 năm 2026, Google cũng đã phát hành các bản vá cho một lỗ hổng nghiêm trọng trong thành phần Framework của Android (CVE-2025-48595, điểm CVSS: 8.4) mà hãng cho biết đã bị khai thác tích cực.