Google ha confirmado que una vulnerabilidad zero-day de severidad alta que afecta a los smartphones Pixel está siendo explotada activamente. El fallo, identificado como CVE-2026-58704, se encuentra en el subcomponente del módem del dispositivo. Para solucionar este problema, la compañía ha lanzado parches de emergencia incluidos en el boletín de actualización de Pixel de septiembre de 2026.

Google ha confirmado que un fallo de día cero de Android de alta severidad que afecta a sus smartphones Pixel está siendo explotado activamente, y ha lanzado parches de emergencia como parte del Boletín de Actualización de Pixel de septiembre de 2026.

Identificada como CVE-2026-58704, la vulnerabilidad reside en el subcomponente del Módem del dispositivo y está siendo utilizada en lo que la empresa describe como ataques "limitados y dirigidos". Se te insta a actualizar al nivel de parche de seguridad 2026-09-05 sin demora.

Android Pixel 0-Day Explotado

El error es una debilidad de elevación de privilegios (EoP) originada en una autorización incorrecta y un fallo en el mecanismo de protección dentro del módem celular.

Según el aviso, "en el módem celular, existe una posible omisión de permisos debido a un error lógico en el código", lo que "podría conducir a una escalada de privilegios remota (proximal/adyacente) sin necesidad de privilegios de ejecución adicionales".

En términos sencillos, un atacante posicionado en una red adyacente, alguien que esté dentro del alcance de radio del objetivo y que ya posea privilegios básicos en el dispositivo, puede elevar su acceso silenciosamente.

Lo que hace que la CVE-2026-58704 sea particularmente preocupante es lo poco que requiere el ataque. Google señala que el exploit es de baja complejidad y no requiere interacción del usuario, lo que significa que tú no necesitas hacer clic en un enlace, instalar una aplicación ni cometer ningún error para que la intrusión tenga éxito.

Los fallos en la capa del módem son especialmente valorados por actores sofisticados porque se encuentran cerca de la banda base y pueden servir como un escalón sigiloso hacia un compromiso más profundo del dispositivo.

El lenguaje de "limitados y dirigidos" que utiliza Google es la misma frase que ha aplicado históricamente a los días cero aprovechados por proveedores de spyware comercial y operadores de vigilancia alineados con estados, lo que sugiere un conjunto de víctimas reducido pero de alto valor, en lugar de una explotación masiva.

La CVE-2026-58704 no llegó sola. Según el aviso oficial publicado por Google, el boletín de Pixel de septiembre de 2026, publicado el 15 de septiembre, corrige un total de 110 vulnerabilidades en el hardware de Pixel, incluyendo 12 de ejecución remota de código y 89 problemas de escalada de privilegios calificados como críticos o altos.

Varias fallas de RCE de severidad crítica afectan a componentes como el Subsistema Multimedia IP, libpixelimsmedia, la VPU, el Módem y el motor de medios BigOcean, mientras que una larga lista de componentes relacionados con el gestor de arranque, el Entorno de Ejecución Confiable y la seguridad de Titan recibieron correcciones críticas de EoP.

Debido a que los dispositivos Pixel utilizan hardware controlado por Google, reciben un boletín dedicado independiente del Boletín de Seguridad de Android más amplio que se distribuye a otros fabricantes.

Los parches de Pixel se basan en la actualización general de Android de septiembre de 2026, que según SecurityWeek solucionó aproximadamente 180 vulnerabilidades en todo el ecosistema, incluyendo docenas de fallos críticos como el error de corrupción de memoria de Wi-Fi CVE-2026-28662.

Google emitió dos series de parches este mes, 2026-09-01 y 2026-09-05, siendo este último el nivel que cierra todas las correcciones aplicables de septiembre más los problemas pendientes anteriores.

Cualquier nivel de parche de seguridad de 2026-09-05 o posterior remedia completamente la CVE-2026-58704 y todos los demás problemas del boletín, y todos los dispositivos Google compatibles están recibiendo la actualización. Esa lista de compatibilidad abarca desde la serie Pixel 6 hasta la recién lanzada familia Pixel 11, junto con los modelos Pixel Tablet y Fold.

Si eres propietario de un Pixel 6 o 6 Pro antiguo, debes tener en cuenta que esos terminales llegan al final de su vida útil en octubre de 2026, por lo que esta es una de sus últimas actualizaciones de seguridad garantizadas.

Para instalar la actualización, debes abrir Ajustes, ir a Seguridad y privacidad, luego a Sistema y actualizaciones, tocar en Actualización de seguridad, seleccionar Instalar y reiniciar el dispositivo para completar el proceso.

Las imágenes de firmware también están disponibles en el sitio de desarrolladores de Google para usuarios avanzados que prefieran el flasheo manual.

Dada la explotación confirmada, debes tratar la aplicación de este parche como urgente y no como rutinaria, especialmente si eres periodista, ejecutivo, activista u otra persona que encaje en el perfil típico de objetivo de los exploits de módem de "cero clics" y proximidad.