攻撃に使われている Pixel のゼロデイは、メモリ安全性のバグではない。そこが厄介だ

9月15日、Google は2026年9月分の Pixel Update Bulletin を公開した。およそ110件の修正が並ぶそのリストの中に、文書全体の読み方を変える一行がある。

注: CVE-2026-58704 が限定的かつ標的型の悪用を受けている可能性を示す兆候がある。

この脆弱性はセルラーモデムにある。Google 自身による分類は控えめだ。権限昇格、深刻度 High、サブコンポーネントは Modem。アドバイザリの文面も Android の定型表現である。「Cellular Modem において、コード上のロジックエラーに起因する権限バイパスが発生し得る。これはリモート（近接／隣接）からの権限昇格につながる可能性があり、追加の実行権限を必要としない。」攻撃者は隣接ネットワーク上にいる必要があり、かつ対象端末上で基本的な権限をすでに持っている必要がある。ユーザーの操作は不要で、攻撃の複雑さは Google の評価で「低」である。

影響を受ける範囲

修正は9月の Pixel アップデートで配信される。Google の文書には「サポート対象のすべての Google デバイスに 2026-09-05 のパッチレベルへの更新が配信される」と記されており、パッチレベルは端末の「設定」から「セキュリティとプライバシー」、「システムとアップデート」で確認できる。

悪用されているのは、トリアージなら後回しにされるバグだ

同じ文書は、深刻度が critical または high と評価されたリモートコード実行12件と権限昇格89件を修正している。Google が実際に人に対して使われているとするものは、その critical の中にはない。より重く見える項目が並ぶ文書の中の、High である。深刻度スコアの順に処理していくパッチ運用なら、たどり着くのは遅くなっていたはずだ。

スコアと同じくらい、どこに載ったかが効いている。9月分の一般的な Android Security Bulletin は1週間早い9月8日に公開され、9月10日に更新された。2つのパッチレベル、Framework、System、カーネル、サードパーティ製コンポーネントにまたがるおよそ180件の問題。そのいずれにも悪用の注記はない。悪用されている脆弱性が載っているのは Pixel の文書だけである。これは端末固有の別文書で、大半の Android ユーザーは目にせず、大半の Android 端末には届かない。今月唯一確認された Android の実環境での権限昇格は、Google が持つ中で最も狭い経路で公表された。

Rust はロジックエラーを直さない

4月、Google は Rust で書かれた DNS パーサーを Pixel 10 のモデムファームウェアに載せ、その経緯を詳しく公開した。理屈は妥当であり、率直さも歓迎すべきものだった。「Pixel のモデムには数十メガバイトの実行コードがある。モデムの複雑さとリモートからの攻撃面を踏まえれば、他にも重大なメモリ安全性の脆弱性が残っている可能性がある。」Google は Pixel 10 を「モデムにメモリ安全な言語を組み込んだ最初の Pixel 端末」と呼んだ。

CVE-2026-58704 はメモリ安全性のバグではない。ロジックエラーによる権限バイパスであり、モデムが拒否すべきものを許可してしまったという話だ。Rust は、敵対的な入力を渡されたパーサーがメモリを破壊するのを防ぐ。だが、誰が何を要求してよいのかを正しく判断することはしない。業界で最も注目されたベースバンドのセキュリティ投資は、このバグに関しては的を外している。

これはその取り組みを否定する議論ではない。ファームウェアにおいて支配的なバグのクラスは依然としてメモリ破壊であり、電波から届く信頼できないデータを解析するコンポーネントでそれを消し去る価値はある。否定しているのは、それを完了した仕事として読むことのほうだ。ベースバンドは今も端末内のもう一台のコンピュータであり、独自のファームウェアを独自の権限レベルで走らせ、近くに無線機を持つ者から到達可能で、ユーザーからは見えず、ユーザーには監査できない。メモリの扱いを固めることは、その建物にある扉を1つ狭めることである。

実際に危険なのは誰か

「限定的かつ標的型の悪用」は、無差別にばらまかれるのではなく特定の個人に対して使われているのが見つかった場合に Google が使う定型句であり、これまでの例では商用の監視ベンダーや国家が関与する攻撃者を意味してきた。この表現は、危険の所在を両方向に正直に示している。大半の Pixel ユーザーがこれで攻撃されているわけではない。そして隣接という条件は、攻撃者が標的の近くにいる必要があることを意味する。これは場当たり的な犯罪にとっては障壁だが、監視作戦にとっては普通に整えられる条件だ。

急を要するのはいつもの層である。ジャーナリスト、活動家、外交官、弁護士、そして予算を持つ誰かの関心の対象になっていると考える理由のある経営層。彼らにとって、標的型の悪用下にある深刻度 High のモデム権限昇格は、脚注ではない。

取るべき対応

9月のアップデートを適用し、再起動後に端末のセキュリティパッチレベルが 2026-09-05 以降になっていることを確認すること。サポート期間を過ぎた Pixel には、修正は届かない。

Pixel 以外の Android 端末を使っているなら、この文書は対象外である。モデムのコードを共有する他社製ハードウェアが影響を受けるかどうかについて Google は説明しておらず、9月の一般的な Android Bulletin にもこの CVE は載っていない。それでも、メーカーが配信する9月の更新は適用しておくべきだ。

自分が標的層に入りうると考えるなら、次に都合よく再起動するときではなく今すぐパッチを当てること。そして攻撃面が何であるかを忘れないこと。モデムは無線がオンである限り到達可能であり、それを取り除く唯一の方法は無線を切ることである。

Sources: Google: Pixel Update Bulletin—September 2026 · BleepingComputer: Google fixes actively exploited Android zero-day on Pixel devices · SecurityWeek: Android's September 2026 Updates Patch 180 Vulnerabilities · Google: Bringing Rust to the Pixel Baseband · Help Net Security: Google makes it harder to exploit Pixel 10 modem firmware · Android Security Bulletin—September 2026