Indice dell'articolo
Rischio e azione: se in azienda sono presenti smartphone Google Pixel, anche in modalità BYOD, verificate oggi stesso il livello patch e portate tutti i dispositivi supportati al 2026-09-05 o successivo. La vulnerabilità del modem CVE-2026-58704 è classificata High da Google e presenta indicazioni di sfruttamento limitato e mirato.
Perché la priorità è alta
Il difetto interessa il modem cellulare ed è una elevazione di privilegio. La documentazione pubblica di Google non descrive la catena completa, gli attori né i bersagli; non è quindi corretto presentarla come compromissione automatica di ogni Pixel. Il dato operativo, però, è sufficiente: esiste attività di sfruttamento e il componente coinvolto gestisce le comunicazioni radio del dispositivo.
Il 16 settembre 2026 CISA ha aggiunto CVE-2026-58704 al catalogo KEV, che raccoglie vulnerabilità con evidenza di sfruttamento attivo. L’obbligo statunitense citato da CISA riguarda le agenzie federali, non le PMI italiane; l’inclusione resta comunque un segnale forte per assegnare precedenza alla correzione rispetto al normale ciclo mensile.
Quali dispositivi e quale correzione
Il bollettino è specifico per i dispositivi Google Pixel supportati. Google indica che il livello patch 2026-09-05 o successivo corregge tutti i problemi elencati nel bollettino Pixel di settembre e quelli del bollettino Android dello stesso mese. Non va quindi estesa automaticamente la stessa conclusione a smartphone Android di altri produttori: per quelli servono i rispettivi bollettini e livelli patch.
Sul dispositivo aprite Impostazioni → Sicurezza e privacy → Sistema e aggiornamenti → Aggiornamento di sicurezza, installate l’update disponibile e riavviate. Poi controllate il livello effettivo, non soltanto la notifica “aggiornato”. Nei sistemi MDM registrate modello, versione Android, livello patch, stato di conformità e ora dell’ultima sincronizzazione.
Patching e incident response restano distinti
Applicare l’aggiornamento riduce l’esposizione futura, ma non dimostra che un dispositivo non sia stato coinvolto prima della patch. Allo stesso tempo, la sola presenza di un Pixel non aggiornato non prova una compromissione. L’assenza di dettagli pubblici sull’exploit limita anche la possibilità di costruire un controllo locale affidabile basato su un singolo indicatore.
Per utenti ad alto rischio, dispositivi con dati amministrativi o accesso privilegiato e telefoni che mostrano eventi anomali, conservate le evidenze prima di ripristinare. Raccogliete gli eventi disponibili da MDM, identità, VPN, posta e applicazioni aziendali; verificate accessi insoliti, nuove sessioni, cambi MFA, token revocati e variazioni delle policy. Se emergono segnali coerenti, isolate l’account o il dispositivo secondo il piano di risposta e valutate rotazione delle credenziali e revoca dei token.
Checklist operativa per IT e MSP
- Inventariare Pixel aziendali e BYOD che accedono a posta, VPN, file o pannelli amministrativi.
- Identificare i modelli ancora supportati e separare quelli fuori supporto.
- Forzare o richiedere l’aggiornamento al livello 2026-09-05 o successivo.
- Verificare il livello patch dopo il riavvio e registrarlo nell’inventario o MDM.
- Bloccare temporaneamente l’accesso a risorse sensibili per i dispositivi non conformi, seguendo la policy aziendale.
- Controllare log di identità, VPN e applicazioni per gli utenti più esposti.
- Aprire un incidente solo in presenza di segnali, preservando le evidenze prima di reset o wipe.
- Gestire separatamente gli altri marchi Android tramite i bollettini del rispettivo produttore.
Limiti da comunicare agli utenti
Google parla di sfruttamento limitato e mirato, non di attacchi indiscriminati. Il bollettino pubblico non attribuisce la campagna e non offre indicatori di compromissione completi. Evitate quindi allarmismi e promesse di rilevamento assoluto: la misura verificabile oggi è aggiornare, attestare la conformità e aumentare il controllo sugli account con privilegi elevati.
Devi verificare patch, conformità mobile e accessi aziendali? Richiedi una valutazione tecnica a MSP In Cloud.