Google parcha un zero-day de módem explotado contra dispositivos Pixel
El boletín de septiembre corrige 110 vulnerabilidades en Pixel, entre ellas CVE-2026-58704, una falla del módem celular bajo explotación limitada y dirigida que no requiere interacción del usuario.
Google publicó el 16 de septiembre de 2026 su boletín de seguridad mensual para dispositivos Pixel con la corrección de 110 vulnerabilidades. Entre ellas figura CVE-2026-58704, una falla de severidad alta en el subcomponente de módem celular que la compañía describe como posiblemente sujeta a "explotación limitada y dirigida", la fórmula con la que Google reconoce un zero-day ya usado en ataques reales.
El fallo nace de una autorización indebida combinada con mecanismos de protección incompletos. En términos del propio boletín, "en el módem celular existe una posible omisión de permisos debido a un error de lógica en el código". Un atacante con acceso de red adyacente y privilegios básicos en el dispositivo puede escalar privilegios sin que el usuario haga nada, en un ataque de baja complejidad.
Por debajo del sistema operativo
La ubicación del componente define el perfil de riesgo. El módem procesa tráfico de red celular antes de que Android intervenga, así que un fallo ahí se explota sin necesidad de que alguien instale una aplicación, abra un enlace o conceda un permiso. El requisito de proximidad de red delimita el escenario: estaciones base falsas, redes controladas por el atacante o entornos donde el objetivo es específico y vale la inversión.
El resto del paquete de septiembre incluye 12 vulnerabilidades de ejecución remota de código y 89 de escalada de privilegios calificadas como críticas o altas. La actualización se aplica desde Ajustes, en Seguridad y privacidad, dentro de Sistema y actualizaciones, en la sección de actualización de seguridad.
Dispositivos personales dentro del perímetro corporativo
El punto que interesa a cualquier organización con esquema BYOD es el desfase de parcheo. En República Dominicana, como en el resto de la región, el teléfono que lee el correo corporativo, aprueba transacciones y recibe códigos de segundo factor casi siempre pertenece al empleado, y su ciclo de actualización responde a la voluntad de esa persona.
Los equipos Pixel reciben el parche el mismo día de publicación; el resto del ecosistema Android lo hereda cuando cada fabricante integra el boletín. Para una organización, la medida con efecto inmediato es verificar el nivel de parche de seguridad como condición de acceso a los recursos internos, una política que las plataformas de gestión de dispositivos móviles aplican sin fricción adicional para el usuario.
Fuente: BleepingComputer, 16 de septiembre de 2026.