---
title: "Google Pixel の CVE-2026-58704: セルラーモデムの権限チェック回避、近接からの権限昇格で限定的な標的型攻撃の兆候（CISA KEV 掲載、CVSS v3.1 8.8）"
url: https://n-t-p.io/worldsecurity/articles/google-pixel-cve-2026-58704-cellular-modem-permission-bypass-kev
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-58704
---

# Google Pixel の CVE-2026-58704: セルラーモデムの権限チェック回避、近接からの権限昇格で限定的な標的型攻撃の兆候（CISA KEV 掲載、CVSS v3.1 8.8）

> **TL;DR:** Google Pixel のセルラーモデムに権限チェックを回避する論理エラー（CVE-2026-58704）。近接からの権限昇格につながる恐れがあり、Google は限定的な標的型攻撃の兆候を注記、CISA が 2026-09-16 に KEV へ追加。CVSS v3.1 8.8（AV:A）。パッチレベル 2026-09-05 以降で修正。対象機種・攻撃の詳細は未確認。

**要点**
- セルラーモデムの論理エラーで権限チェックを回避でき、近接から追加権限なし・ユーザー操作なしで権限昇格の恐れ（CVE-2026-58704、CVSS v3.1 8.8）。severity 案は high。
- Google は限定的な標的型攻撃の兆候を注記し、CISA が 2026-09-16 に KEV へ追加。EPSS は 0.006。
- セキュリティパッチレベル 2026-09-05 以降で修正される。Pixel を 2026-09-05 以降に更新する。
- 影響機種、モデムの種類、悪用の規模・攻撃者、Pixel 以外への影響は未確認。

Google Pixel のセルラーモデムに、権限チェックを回避できる論理エラー（CVE-2026-58704）が見つかりました。Google の Pixel アップデート情報（2026 年 9 月）は「限定的な標的型攻撃で悪用されている兆候がある」と注記しており、CISA は 2026-09-16 に既知の悪用された脆弱性（KEV）へ追加しました。

## 何が起きるか
- NVD の説明では、セルラーモデムの論理エラーにより権限チェックを回避でき、近接（隣接）した位置から、追加の実行権限なしに権限昇格につながる恐れがあります。悪用にユーザー操作は要りません。
- CISA KEV の名称は「Google Pixel Improper Authorization Vulnerability」で、分類は CWE-285（不適切な認可）と CWE-693（保護機構の不具合）です。
- 具体的な攻撃手順、影響を受ける Pixel の機種、モデムの種類は公開情報からは確認できませんでした。

## 評価
| 評価元 | 版 | 点数 | ベクター |
|---|---|---|---|
| Google（NVD 掲載） | CVSS v3.1 | 8.8 | AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |

- 認証は不要ですが、攻撃元は隣接ネットワークで、点数は 9 未満です。基準に沿い、severity は **high** を案とします（確定はオーナーの判断）。
- NVD の状態は Analyzed です。
- CISA KEV に掲載済みです。ランサムウェア攻撃での利用は「Unknown」とされています。
- FIRST の EPSS は 0.006（0.6%）、パーセンタイルは約 50%（取得 2026-11-06）です。KEV 掲載なのに低めの値で、EPSS が実際の標的型の悪用を反映しているかは未確認です。

## 修正の状況
- Google の Pixel アップデート情報（2026 年 9 月）によると、セキュリティパッチレベル 2026-09-05 以降で、同情報にある問題が修正されます。対象の Google デバイスには 2026-09-05 のパッチレベルが配信されます。
- CISA の対応期限は 2026-09-19 でした。

## 対策として考えられること
1. Pixel を使う端末のセキュリティパッチレベルを確認し、2026-09-05 以降に更新します。
2. 更新が提供されない古い機種は、利用を止めるか、業務データを持たせない運用にします。
3. 標的型攻撃を受けやすい立場の利用者（記者・要人・管理者など）の端末は、優先して更新し、不審な挙動がないか確認します。
4. CISA の KEV 対応方針（BOD 26-04）に従う組織は、フォレンジック調査の要件も確認します。

## 未確認の点
- 影響を受ける Pixel の機種とモデムの種類、悪用に必要な近接の具体的な条件。
- 悪用の規模、攻撃者、被害の有無（Google は「限定的な標的型」とのみ記載）。
- Pixel 以外の Android 端末への影響（NVD の対象は Android 全般として登録されています）。
- 2026-09-05 より前のパッチレベルで影響を受ける範囲の詳細。


## 出典
- [NVD CVE-2026-58704](https://nvd.nist.gov/vuln/detail/CVE-2026-58704) — NIST NVD
- [Pixel Update Bulletin（2026 年 9 月）](https://source.android.com/docs/security/bulletin/pixel/2026/2026-09-01) — Google
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-58704) — CISA
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-58704) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/google-pixel-cve-2026-58704-cellular-modem-permission-bypass-kev