Trusted DesignCVE-2026-58704 の詳細
CVEの情報
説明:
In Cellular Modem, there is a possible permission bypass due to a logic error in the code. This could lead to remote (proximal/adjacent) escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
CVE更新日: 2026-09-15 19:17:32.297000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2026-09-16
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.005910000
EPSS更新日: 2026-10-20 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2026-58704に関する調査結果は以下の通りです。
1. 脆弱性の概要
CVE-2026-58704は、Google Pixelスマートフォンのセルラーモデムに存在する、権限昇格の脆弱性です。 コード内の論理エラーにより、権限チェックがバイパスされる可能性があります。 この脆弱性は「ゼロクリック」型攻撃に分類され、ユーザーの操作を一切必要とせずに悪用される可能性があります。 攻撃者は、近接または隣接するネットワークからこの脆弱性を悪用できます。
1.1 影響
この脆弱性が悪用された場合、攻撃者は権限チェックを回避し、権限を昇格させることが可能になります。これにより、モデムのサンドボックス環境を超えて、より広範な端末データへのアクセスを獲得する可能性があります。 機密性、完全性、可用性への影響は高いと評価されています。 Googleは、限定的かつ標的を絞った攻撃でこの脆弱性がすでに悪用されていることを確認しています。 米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を「悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）」カタログに追加しています。
1.2 深刻度
CVE-2026-58704の深刻度は「高 (High)」に分類されています。 CVSS v3.1スコアは8.0です。CISA-ADPによるCVSS v3.1スコアは8.8です。
2. 対象となる環境
2.1 影響を受けるOSバージョン
すべてのサポート対象のGoogle Pixelデバイスが影響を受けます。 具体的なOSバージョンに関するモデルごとの脆弱なデバイス一覧はGoogleから開示されていません。
2.2 影響を受ける設定
この脆弱性はセルラーモデムのコード内の論理エラーに起因しており、特定のユーザー設定が直接影響を与えるものではありません。
3. 影響を受けた時の兆候
この脆弱性は「ゼロクリック」攻撃であるため、悪用されてもユーザーが端末上の異常に気づくことはほぼ確実ありません。 Googleは、標的とされたかどうかを判断するための侵害指標（Indicators of Compromise: IoC）を公表していません。 防御側としては、セキュリティパッチレベルが2026-09-05未満のPixelデバイスや、予期しないモデムまたはセルラーサブシステムのクラッシュがないかを確認することが考えられます。
4. 推奨対策
4.1 本対策
セキュリティパッチレベルを2026-09-05以降に更新することが推奨されます。 Googleは2026年9月15日のPixelセキュリティ情報で、この脆弱性に対する修正を含むアップデートをリリースしています。
確認方法: Pixelデバイスの「設定」>「デバイス情報」>「Androidバージョン」>「Androidセキュリティパッチレベル」が「2026-09-05」またはそれ以降であることを確認してください。
4.2 暫定回避策（緩和策）
この脆弱性に対する明示的な暫定回避策は公開されていません。 攻撃が活発に確認されているため、直ちに上記のセキュリティアップデートを適用することが唯一かつ最も重要な対策とされています。
参照したサイト