CVE-2026-58704 Exploração Ativa: Vulnerabilidade Alta em Google Pixel

A CVE-2026-58704 exploração ativa vulnerabilidade — especificamente uma falha de autorização imprópria no modem celular dos dispositivos Google Pixel — representa risco imediato para organizações que dependem de smartphones em operações diárias. Adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, esta falha de severidade HIGH já está sendo usada por agentes maliciosos para burlar controles de permissão e escalar privilégios no modem, um componente crítico e muitas vezes esquecido da pilha de segurança móvel.

Trata-se de um zero-day em exploração ativa: empresas não tiveram uma janela de proteção real. A ausência de patch no momento do conhecimento público da falha significa que endpoints corporativos ficam expostos antes mesmo de as equipes de segurança validarem o boletim. O próprio termo zero-day indica que a falha já era conhecida ou utilizada antes de a correção ser disponibilizada, anulando a vantagem tradicional do ciclo de patch management.

No contexto desta quinta-feira, 17 de setembro de 2026, múltiplas vulnerabilidades estão sob exploração ativa — incluindo falhas em Cisco ISE, Acronis Backup e Cisco Secure Email Gateway — mas CVE-2026-58704 se destaca pelo alcance: qualquer dispositivo Google Pixel com firmware de modem vulnerável pode ser comprometido silenciosamente, sem interação visível do usuário. A CISA já orienta remediação urgente, e o cenário de ameaça exige que organizações ajam em horas, não em dias.

Na JRT Technology Solutions, monitoramos alertas CISA KEV em tempo real e realizamos varredura contínua de CVEs para frotas corporativas. Nossa recomendação é clara: interrompa qualquer atividade não essencial que dependa de modems Pixel vulneráveis, aplique o patch imediatamente e valide a versão do firmware. Este artigo detalha o que a falha faz, como o ataque funciona, os impactos práticos e o passo a passo de mitigação.

O que é a CVE-2026-58704

A CVE-2026-58704 é uma falha de lógica no componente de modem celular dos aparelhos Google Pixel. O modem, também chamado de baseband processor, é um ambiente de execução separado do processador de aplicações (AP) e é responsável por toda a comunicação com a rede móvel — incluindo chamadas, SMS, dados celulares e interfaces de rádio. A falha permite que um ator mal-intencionado contorne verificações de permissão e consiga escalar privilégios dentro desse processador, ganhando acesso a recursos normalmente restritos.

O problema não está na camada de aplicação Android em si, mas na comunicação entre o sistema operacional e o firmware do modem. A falta de uma checagem adequada de autorização autoriza que um processo com privilégios baixos invoque funções sensíveis do modem, criando uma ponte para manipular o tráfego de rede ou executar comandos privilegiados no baseband. Esse tipo de falha é especialmente crítico porque o modem tem acesso direto ao hardware de rádio, e uma escalação aí pode comprometer chamadas, mensagens e até a identidade do assinante (IMSI/IMEI) em diversos cenários.

Análise técnica detalhada da CVE-2026-58704 exploração ativa vulnerabilidade

Para entender a gravidade da CVE-2026-58704, é preciso conhecer a arquitetura de um smartphone moderno. Nos dispositivos Pixel, o processador principal roda o Android e gerencia aplicações e segurança do sistema. Paralelamente, um processador dedicado de modem — geralmente fornecido por fabricantes de chipsets como Samsung, Qualcomm ou MediaTek — executa um sistema operacional em tempo real próprio, com memória isolada e comunicação via canais específicos, como IPC (Inter-Processor Communication).

As vulnerabilidades de autorização imprópria nesse contexto ocorrem quando as chamadas entre o AP e o modem não são devidamente validadas. Uma aplicação Android com permissões limitadas pode, em condições normais, enviar comandos ao modem apenas por meio de APIs bem definidas e controladas. A falha CVE-2026-58704 introduz um ponto de bypass: devido a um erro de lógica, o modem aceita comandos privilegiados sem validar se o solicitante possui os privilégios necessários. Isso pode permitir desde a leitura de dados de identificação do assinante até a injeção de mensagens de rádio arbitrárias.

O impacto potencial inclui a execução de código no processador de banda base, acesso a chaves de criptografia de rede, interceptação de SMS de OTP (One-Time Password), sequestro de sessão de dados e até a possibilidade de transformar o modem em um pivô para ataques ao processador principal. Vale destacar que o modem tem privilégios elevados em relação a muitos componentes de hardware, justamente para garantir a conectividade contínua e a autenticação na rede da operadora. Se comprometido, esse componente pode permitir ataques persistentes que sobrevivem até a reinicialização do sistema operacional Android.

No contexto de exploração ativa confirmada pela CISA, o ataque provavelmente já é utilizado em campanhas direcionadas contra alvos de alto valor — executivos, jornalistas, ativistas ou infraestrutura crítica. A complexidade do ataque pode variar: embora a falha seja local em essência, a exploração pode ser facilitada por meio de aplicações maliciosas distribuídas via phishing, comprometimento prévio do dispositivo, ou mesmo por atores que operam estações-base falsas (rogue base stations) para forçar o modem a processar comandos não autorizados.

Produtos e versões afetados pela CVE-2026-58704 em exploração ativa

• 🟠 Google Pixel 7, 7 Pro, 7a — firmware de modem vulnerável
• 🟠 Google Pixel 8, 8 Pro, 8a — firmware de modem vulnerável
• 🟠 Google Pixel 9, 9 Pro, 9 Pro XL, 9 Pro Fold — firmware de modem vulnerável
• 🟠 Google Pixel 6, 6 Pro, 6a — firmware de modem vulnerável (ainda dentro da janela de suporte)
• 🟠 Google Pixel Tablet — se equipado com modem celular
• 🟡 Dispositivos Google Pixel executando versões de Android com patch de segurança anterior a setembro de 2026 — independentemente do modelo, se o patch de segurança do modem não for aplicado, o risco permanece

É importante ressaltar que a falha não se limita a um único modelo, mas sim a uma família de dispositivos que compartilham a mesma linha de firmware de modem. A Google iniciou a distribuição de correções por meio do boletim de segurança de setembro de 2026. Equipamentos com atualizações automáticas desativadas, sem conectividade Wi-Fi ou corporativa para receber o OTA, e dispositivos em modo BYOD sem gestão de patches permanecem expostos.

Como funciona o ataque — CVE-2026-58704 exploração ativa vulnerabilidade

O vetor de ataque pode ser dividido em etapas conceituais que explicam o impacto real para as organizações. Embora os detalhes técnicos completos da exploração não sejam publicados por questões de segurança, a natureza da falha permite inferir o caminho mais provável:

1. Comprometimento inicial: o atacante coloca uma aplicação maliciosa no dispositivo, seja por phishing, loja de aplicativos não oficial, engenharia social ou aproveitando-se de outra vulnerabilidade já explorada.
2. Execução de código local: a aplicação, rodando com permissões restritas, explora a falha de autorização no modem para emitir comandos privilegiados sem a devida validação.
3. Escalação de privilégios no baseband: o comando malicioso é aceito pelo processador de modem, permitindo que o código atacante eleve seus direitos e acesse APIs internas do firmware.
4. Manipulação do tráfego de rede: uma vez com privilégios no modem, o invasor pode interceptar SMS, chamadas, dados de localização e até acessar chaves de autenticação da operadora.
5. Persistência e movimento lateral: o controle do modem pode ser usado para burlar autenticações baseadas em SMS (OTP), injetar tráfego malicioso ou se comunicar com um servidor de comando e controle sem ser detectado pelas ferramentas tradicionais de EDR, que raramente inspecionam o baseband.

Em um cenário alternativo, um atacante que opere uma estação-base falsa ou que esteja na mesma rede móvel pode tentar explorar a falha por meio de mensagens de rádio direcionadas, sem necessidade de aplicação instalada no dispositivo. Esse tipo de ataque é mais complexo, porém extremamente perigoso para alvos específicos, pois não requer interação do usuário.

Impacto real para empresas — CVE-2026-58704 exploração ativa vulnerabilidade

Empresas que utilizam Google Pixel como dispositivo corporativo, especialmente em setores regulamentados, enfrentam riscos que vão além da perda de um único aparelho. A falha no modem pode comprometer a confidencialidade de comunicações executivas, credenciais de autenticação, dados financeiros e segredos industriais. Um atacante que controle o baseband pode capturar SMS de recuperação de senha e OTPs, neutralizando a autenticação multifator baseada em SMS e abrindo caminho para comprometimento de contas corporativas.

Além disso, o comprometimento do modem permite a coleta de localização em tempo real, gravação silenciosa de chamadas e interceptação de tráfego de internet móvel.