Google Pixel の CVE-2026-58704: セルラーモデムの権限チェック回避、近接からの権限昇格で限定的な標的型攻撃の兆候（CISA KEV 掲載、CVSS v3.1 8.8）

Google Pixel のセルラーモデムに、権限チェックを回避できる論理エラー（CVE-2026-58704）が見つかりました。Google の Pixel アップデート情報（2026 年 9 月）は「限定的な標的型攻撃で悪用されている兆候がある」と注記しており、CISA は 2026-09-16 に既知の悪用された脆弱性（KEV）へ追加しました。

何が起きるか

• NVD の説明では、セルラーモデムの論理エラーにより権限チェックを回避でき、近接（隣接）した位置から、追加の実行権限なしに権限昇格につながる恐れがあります。悪用にユーザー操作は要りません。
• CISA KEV の名称は「Google Pixel Improper Authorization Vulnerability」で、分類は CWE-285（不適切な認可）と CWE-693（保護機構の不具合）です。
• 具体的な攻撃手順、影響を受ける Pixel の機種、モデムの種類は公開情報からは確認できませんでした。

評価

評価元	版	点数	ベクター
Google（NVD 掲載）	CVSS v3.1	8.8	AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• 認証は不要ですが、攻撃元は隣接ネットワークで、点数は 9 未満です。基準に沿い、severity は high を案とします（確定はオーナーの判断）。
• NVD の状態は Analyzed です。
• CISA KEV に掲載済みです。ランサムウェア攻撃での利用は「Unknown」とされています。
• FIRST の EPSS は 0.006（0.6%）、パーセンタイルは約 50%（取得 2026-11-06）です。KEV 掲載なのに低めの値で、EPSS が実際の標的型の悪用を反映しているかは未確認です。

修正の状況

• Google の Pixel アップデート情報（2026 年 9 月）によると、セキュリティパッチレベル 2026-09-05 以降で、同情報にある問題が修正されます。対象の Google デバイスには 2026-09-05 のパッチレベルが配信されます。
• CISA の対応期限は 2026-09-19 でした。

対策として考えられること

1. Pixel を使う端末のセキュリティパッチレベルを確認し、2026-09-05 以降に更新します。
2. 更新が提供されない古い機種は、利用を止めるか、業務データを持たせない運用にします。
3. 標的型攻撃を受けやすい立場の利用者（記者・要人・管理者など）の端末は、優先して更新し、不審な挙動がないか確認します。
4. CISA の KEV 対応方針（BOD 26-04）に従う組織は、フォレンジック調査の要件も確認します。

未確認の点

• 影響を受ける Pixel の機種とモデムの種類、悪用に必要な近接の具体的な条件。
• 悪用の規模、攻撃者、被害の有無（Google は「限定的な標的型」とのみ記載）。
• Pixel 以外の Android 端末への影響（NVD の対象は Android 全般として登録されています）。
• 2026-09-05 より前のパッチレベルで影響を受ける範囲の詳細。