Google ha publicado la actualización de seguridad de septiembre de 2026 para sus dispositivos Pixel, con correcciones para un total de 110 vulnerabilidades, entre ellas un zero-day que ya estaría siendo utilizado en ataques reales.
La vulnerabilidad, identificada como CVE-2026-58704, está siendo objeto de una explotación que Google describe como “limitada y dirigida”. La compañía recomienda a todos los propietarios de dispositivos Pixel compatibles instalar cuanto antes la actualización correspondiente al nivel de parche 2026-09-05.
Un zero-day que permite elevar privilegios sin interacción del usuario
CVE-2026-58704 es una vulnerabilidad de alta gravedad localizada en el subcomponente Cellular Modem. El problema está relacionado con una autorización incorrecta y un fallo en los mecanismos de protección.
Según la información disponible, un atacante con acceso a una red adyacente y privilegios básicos en el dispositivo podría aprovechar el fallo para elevar sus privilegios mediante un ataque de baja complejidad.
Uno de los aspectos más relevantes es que la explotación no requiere ninguna interacción por parte del usuario. Google explica que el origen se encuentra en un error lógico que puede provocar una omisión de permisos en el módem celular y conducir a una escalada de privilegios desde una posición próxima o adyacente.
La compañía no ha revelado por ahora quién está detrás de los ataques, cuántos usuarios han sido afectados ni cómo se está utilizando exactamente la vulnerabilidad en las operaciones detectadas. Únicamente ha confirmado que existen indicios de una explotación limitada y dirigida.
La actualización corrige otras 109 vulnerabilidades
CVE-2026-58704 no es el único problema solucionado con el parche de septiembre. Google ha corregido otras 109 vulnerabilidades que afectan a sus teléfonos Pixel.
Entre ellas aparecen 12 fallos que permiten la ejecución remota de código y 89 vulnerabilidades de escalada de privilegios, clasificadas con niveles de gravedad crítico o alto.
Aunque los Pixel utilizan Android, estos dispositivos cuentan con boletines y actualizaciones de seguridad específicos debido al hardware controlado directamente por Google y a las características propias incorporadas por la compañía.
Por este motivo, el parche para los Pixel es independiente de las actualizaciones mensuales de seguridad que posteriormente distribuyen otros fabricantes de teléfonos Android.
Cómo comprobar si tu Google Pixel está actualizado
Google recomienda instalar la actualización en cuanto esté disponible. Para comprobarlo manualmente, los usuarios deben acceder a Ajustes > Seguridad y privacidad > Sistema y actualizaciones > Actualización de seguridad.
Desde ese apartado pueden iniciar la instalación y, una vez completada, reiniciar el teléfono para terminar de aplicar las correcciones.
Todos los dispositivos Pixel que continúan dentro del periodo de soporte recibirán el nivel de parche de seguridad 2026-09-05.
La recomendación cobra especial importancia por el hecho de que CVE-2026-58704 ya no es únicamente una vulnerabilidad teórica: Google ha detectado indicios de que está siendo aprovechada en ataques dirigidos. Además, al no necesitar interacción del usuario en las condiciones descritas, evitar enlaces o archivos sospechosos no constituye por sí solo una protección frente al fallo.
Otro zero-day explotado contra Android en 2026
No es la primera vulnerabilidad de Android explotada activamente que Google corrige este año. En junio, la compañía solucionó CVE-2025-48595, un zero-day del Android Framework que también había sido utilizado en ataques dirigidos.
En aquel caso, el fallo podía permitir a los atacantes conseguir ejecución de código y elevar privilegios en dispositivos con Android 14 o versiones posteriores.
El nuevo caso vuelve a poner el foco en la importancia de mantener actualizado el sistema incluso cuando el usuario no haya observado ningún comportamiento extraño. Para los propietarios de un Pixel compatible, la medida prioritaria es comprobar que el dispositivo ha recibido el parche de seguridad de septiembre de 2026 y completar la instalación con el reinicio correspondiente.
