Pixel Zero-Day CVE-2026-58704: Das Modem als offene Tür

Google hat am 15. September 2026 einen Pixel Zero-Day geschlossen. Die Lücke CVE-2026-58704 steckt weder in einer App noch im Android-Framework, sondern im Mobilfunk-Modem des Geräts. Genau das macht sie unangenehm: Für einen erfolgreichen Angriff muss das Opfer nichts anklicken und nichts installieren. Google spricht von Anzeichen, dass die Schwachstelle bereits begrenzt und gezielt ausgenutzt worden sein könnte.

Pixel Zero-Day CVE-2026-58704: Was Google schreibt

Laut CVE-Eintrag liegt im Cellular Modem ein Logikfehler vor, durch den eine Berechtigungsprüfung umgangen werden kann. Die Folge ist eine Rechteausweitung aus der unmittelbaren Funkumgebung heraus, im CVE-Text als remote (proximal/adjacent) beschrieben. Eine Nutzerinteraktion ist nicht nötig, zusätzliche Ausführungsrechte ebenfalls nicht.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Google stuft den Fehler als hoch ein, im Bulletin mit CVSS 3.1 von 8.0. Zur Ausnutzung heißt es dort wörtlich, es gebe „indications that CVE-2026-58704 may be under limited, targeted exploitation”. Das ist bewusst vorsichtig formuliert, und diese Vorsicht gehört mitgelesen: Eine bestätigte Angriffswelle ist das nicht. Zu beachten ist außerdem, dass der CVSS-Vektor niedrige Rechte auf dem Gerät voraussetzt. Ein Angriff komplett aus der Luft, ganz ohne Fuß in der Tür, ist damit nicht belegt.

Das Bulletin selbst habe ich durchgezählt: Es listet 110 Schwachstellen, davon 46 als kritisch, 63 als hoch und eine als mittel eingestuft. Betroffen sind unter anderem Multimedia-Subsystem, VPU, Modem, Telefonie, Bootloader und TEE. Den vollständigen Stand liefert laut Google ein Sicherheitspatch-Level von 2026-09-05 oder neuer.

Warum Modem-Lücken eine eigene Kategorie sind

Das Baseband ist ein eigener Prozessor mit eigener Firmware. Er läuft neben Android und verarbeitet permanent Funkverkehr, also Daten, die vorher niemand gefiltert hat. Er nimmt sie entgegen, bevor die Sicherheitsmechanismen des Betriebssystems überhaupt greifen. Deshalb gelten Baseband-Fehler als besonders begehrte Angriffsziele: Sie brauchen kein Phishing, keinen Nutzerfehler und hinterlassen auf Anwendungsebene kaum Spuren. Für diesen konkreten Fall ist das allerdings Einordnung, keine Zuschreibung – Google hat die Anzeichen keinem Akteur zugeordnet.

Was das für dich bedeutet

Hier gehören zwei Dinge auseinander. Für die breite Masse ist CVE-2026-58704 kein akutes Massenrisiko. „Begrenzt und gezielt” heißt in der Praxis: wenige ausgewählte Personen, typischerweise aus Journalismus, Aktivismus oder sensiblen beruflichen Funktionen. Wer sein Pixel privat nutzt, spielt das Update ein und schläft danach ruhig.

Für die Risikobewertung im Unternehmen ist die Meldung trotzdem interessant, und zwar aus einem unbequemen Grund. Wer Mobilgeräte ausschließlich über MDM-Richtlinien, App-Freigaben und Verschlüsselung absichert, hat die Modem-Schicht schlicht nie betrachtet. Sie taucht in keiner Policy auf, in keinem Audit-Bericht und in keinem Compliance-Nachweis. Aus CISO-Sicht heißt das: Der Patch-Level des Geräts gehört mit derselben Verbindlichkeit ins Reporting wie der Windows-Patchstand der Clients. Und das Gerätemodell entscheidet, ob ein Patch überhaupt noch kommt. Dieses Argument gehört in die Beschaffung, nicht in die spätere Vorfallsanalyse.

Das solltest du jetzt tun

• Update sofort einspielen, über Einstellungen → Sicherheit und Datenschutz → Systemupdates beziehungsweise, wie Googles eigene Anleitung es nennt, Einstellungen → System → Softwareupdates. Nicht auf den automatischen Rollout warten, der sich über Tage zieht.
• Den Patch-Level anschließend kontrollieren. Erst ein Stand von 2026-09-05 oder neuer deckt alle Punkte dieses Bulletins ab. Ein angebotenes Update ist kein installiertes Update.
• Geräte ohne Update-Anspruch aussortieren. Ein Pixel außerhalb des Supportzeitraums bekommt diesen Fix nicht, und es gibt keine Konfiguration, die das ausgleicht.
• Bei erhöhtem Risiko die Funk-Angriffsfläche verkleinern. Android bietet ab Version 16 das Erweiterte Sicherheitsprogramm, dessen Netzbaustein „Schutz vor 2G-Netzen” Verbindungen zu 2G unterbindet. Wichtig zur Einordnung: Gegen genau diese Modem-Lücke ist das kein belegter Schutz, denn das Baseband verarbeitet auch 4G und 5G. Es verkleinert nur die allgemeine Funk-Angriffsfläche.

Wie viel bei Android inzwischen unterhalb der App-Ebene passiert, habe ich schon beim Netzwerkschutz in Android 17 beschrieben. Der Trend ist derselbe: Die spannenden Sicherheitsfragen wandern in Schichten, die kaum jemand im Blick hat.

Quellen

• Google: Pixel Update Bulletin September 2026
• NVD: CVE-2026-58704
• SecurityWeek: Pixel Modem Zero-Day Exploited in Targeted Attacks
• BleepingComputer: Google fixes actively exploited Android zero-day on Pixel devices