情報取得日: 2026/09/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-58704 |
|---|---|
| 製品 | Google / Google Pixel（セルラーモデム）。セキュリティパッチレベル 2026-09-05 以降で修正 |
| CVSS | 8.8（High） CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-285 不適切な認可 / CWE-693 保護メカニズムの不備 |
| 登録／公開日 | 2026/09/15 |
| KEV 期限 | 2026/09/19 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用する（BOD 26-04 の指針と CISA の Forensics Triage Requirements に従う）。緩和策が無い場合は製品の使用を中止する。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-58704 |
**Pixel 端末のセルラーモデムで、コードのロジック誤りにより権限チェックを回避され、権限を昇格される。** Google の Pixel Update Bulletin（2026年9月版・2026年9月15日公開）はこの欠陥を Modem コンポーネントの権限昇格（EoP）・深刻度 High として掲載し、「CVE-2026-58704 が限定的な標的型の悪用を受けている可能性を示す兆候がある」と注記している。 **攻撃は近接（隣接ネットワーク）から成立し、利用者の操作は要らない。** NVD の説明は「追加の実行権限を必要としない、遠隔（近接／隣接）からの権限昇格につながりうる。悪用に利用者の操作は不要」としている。CVSS 3.1 は 8.8（AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、インターネット越しではなく**近くの無線・隣接ネットワークからの攻撃**を前提にした値である。 **CISA は 2026-09-16 に KEV へ収載し、是正期限を 2026-09-19 とした。** 対象は企業や組織が支給・管理している Pixel 端末も含むため、MDM でパッチレベルを把握している組織は早期の確認が必要になる。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
該当しない。対象は Google Pixel 端末のモデムで、AWS のサービスではない。
AWS 上の業務システムに対応事項は無い。Pixel を業務端末として配布している場合は、MDM で端末のパッチレベルを 2026-09-05 以降へ揃える。
参照リンク
|
| GCP | 対象外 |
該当しない。Google Cloud のサービスではなく、Pixel 端末側の修正である。
Google Workspace の端末管理（エンドポイント管理）で Android 端末を管理している場合は、端末のセキュリティパッチレベルを確認して未更新端末を洗い出すことができる。
参照リンク
|
| Azure | 対象外 |
該当しない。Azure のサービスではない。
Microsoft Intune で Android 端末を管理している場合は、コンプライアンスポリシーで最低セキュリティパッチレベルを 2026-09-05 以降に設定すると未更新端末を検出できる。
参照リンク
|
| Linux | ベンダーFW更新 |
**端末を セキュリティパッチレベル 2026-09-05 以降へ更新する。** Linux サーバ／ディストリビューションのパッケージ更新とは無関係で、Pixel 端末の OTA 更新（または Google が公開するファクトリーイメージ）で修正する。
Google は Pixel の端末イメージを Google Developer サイトで公開していると告知に記載している。
参照リンク
|
**端末を セキュリティパッチレベル 2026-09-05 以降へ更新する。** Google は、2026-09-05 以降のパッチレベルがこの告知と 2026年9月の Android セキュリティ告知のすべての問題に対処すると書いており、サポート対象のすべての Google 端末に 2026-09-05 のパッチレベルの更新が配信される。 **確認方法**: 端末の「設定」から Android のセキュリティアップデートの日付（セキュリティパッチレベル）を見る。2026-09-05 より前であれば未対応である。組織で管理している端末は、MDM／EMM の端末一覧でパッチレベルを集計し、未更新の端末を洗い出す。 **サポートが終了した Pixel は更新を受けられない。** 更新が配信されない機種は、この欠陥が塞がらないまま残るので、業務利用からの切り替えを検討する。 **回避策は公表されていない。** 近接からの攻撃が前提のため、未更新の端末を人の多い場所へ持ち出す運用を控えることはリスクを下げうるが、Google が示した対処は更新だけである。
High（CVSS 8.8）に分類されるGoogle Google Pixel（セルラーモデム）。セキュリティパッチレベル 2026-09-05 以降で修正の脆弱性です。**Pixel 端末のセルラーモデムで、コードのロジック誤りにより権限チェックを回避され、権限を昇格される。** Google の Pixel Update Bulletin（2026年9月版・2026年9月15日公開）はこの欠陥を Modem コンポーネントの権限昇格（EoP）・深刻度 High として掲載し、「CVE-2026-58704 が限定的な標的型の悪用を受けている可能性を示す兆候がある」と注記している。 **攻撃は近接（隣接ネットワーク）から成立し、利用者の操作は要らない。** NVD の説明は「追加の実行権限を必要としない、遠隔（近接／隣接）からの権限昇格につながりうる。悪用に利用者の操作は不要」としている。CVSS 3.1 は 8.8（AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、インターネット越しではなく**近くの無線・隣接ネットワークからの攻撃**を前提にした値である。 **CISA は 2026-09-16 に KEV へ収載し、是正期限を 2026-09-19 とした。** 対象は企業や組織が支給・管理している Pixel 端末も含むため、MDM でパッチレベルを把握している組織は早期の確認が必要になる。
**端末を セキュリティパッチレベル 2026-09-05 以降へ更新する。** Google は、2026-09-05 以降のパッチレベルがこの告知と 2026年9月の Android セキュリティ告知のすべての問題に対処すると書いており、サポート対象のすべての Google 端末に 2026-09-05 のパッチレベルの更新が配信される。 **確認方法**: 端末の「設定」から Android のセキュリティアップデートの日付（セキュリティパッチレベル）を見る。2026-09-05 より前であれば未対応である。組織で管理している端末は、MDM／EMM の端末一覧でパッチレベルを集計し、未更新の端末を洗い出す。 **サポートが終了した Pixel は更新を受けられない。** 更新が配信されない機種は、この欠陥が塞がらないまま残るので、業務利用からの切り替えを検討する。 **回避策は公表されていない。** 近接からの攻撃が前提のため、未更新の端末を人の多い場所へ持ち出す運用を控えることはリスクを下げうるが、Google が示した対処は更新だけである。
Google Google Pixel（セルラーモデム）。セキュリティパッチレベル 2026-09-05 以降で修正 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58704）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/19 です。推奨される対応: ベンダーの指示に従って緩和策を適用する（BOD 26-04 の指針と CISA の Forensics Triage Requirements に従う）。緩和策が無い場合は製品の使用を中止する。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。