Google ha publicado una actualización de seguridad para los teléfonos Pixel que corrige la vulnerabilidad CVE-2026-58704. Según la compañía, existen indicios de que el fallo se estaba utilizando de forma limitada en ataques dirigidos.
El problema se encontraba en el módem del teléfono, el componente responsable de conectar el dispositivo a las redes móviles. La corrección está incluida en el nivel de parche de seguridad del 5 de septiembre de 2026 y en las versiones posteriores.
Se recomienda a los propietarios de modelos Pixel compatibles que comprueben si la actualización está disponible y la instalen lo antes posible.
Qué se sabe sobre CVE-2026-58704
Google publicó información sobre la vulnerabilidad el 15 de septiembre en su boletín de seguridad de Pixel.
CVE-2026-58704 tiene una gravedad alta y está clasificada como una vulnerabilidad de elevación de privilegios. Esto significa que, bajo determinadas condiciones, un atacante podría obtener un acceso al sistema más amplio del que debería permitir normalmente el componente afectado.
En este caso, el problema afecta al módem. Este componente funciona en un entorno aislado, pero una explotación exitosa podría ayudar al atacante a superar esas restricciones y alcanzar otras partes del teléfono.
No se han publicado una descripción técnica detallada ni instrucciones para aprovechar CVE-2026-58704. Limitar esta información reduce el riesgo de que otros atacantes reproduzcan rápidamente el método antes de que la mayoría de los usuarios instale la actualización.
El ataque podía funcionar sin intervención del propietario
Según TechCrunch, la vulnerabilidad podía explotarse sin ninguna acción del propietario del teléfono. El usuario no tenía que abrir un archivo, acceder a un enlace ni instalar una aplicación externa.
Este tipo de ataque se conoce como zero-click. Resulta especialmente peligroso porque las precauciones habituales al gestionar mensajes y archivos pueden no ser suficientes para proteger el dispositivo.
Sin embargo, Google solo ha informado de un uso limitado y dirigido de CVE-2026-58704. La compañía no ha revelado:
quién estaba detrás de los ataques;
cuántos usuarios se vieron afectados;
en qué países se produjeron;
qué modelos Pixel fueron atacados;
a qué información pudieron acceder los responsables.
Por ahora no existen indicios de que la vulnerabilidad se utilizara en una campaña masiva contra todos los propietarios de teléfonos Pixel.
Por qué se considera una vulnerabilidad zero-day
CVE-2026-58704 puede considerarse una vulnerabilidad zero-day porque, según la información disponible, se utilizó en ataques reales antes de que los usuarios tuvieran acceso a una corrección.
Ahora que la actualización está disponible, el problema ya no permanece sin parchear. No obstante, los teléfonos que todavía no hayan recibido o instalado la actualización pueden seguir siendo vulnerables.
Por ello, no basta con recibir la notificación de una nueva versión. También hay que completar su instalación y reiniciar el dispositivo cuando sea necesario.
Qué actualización corrige CVE-2026-58704
Google indica que todos los problemas incluidos en el boletín de septiembre de Pixel se solucionan con el nivel de parche de seguridad del 5 de septiembre de 2026 o uno posterior.
La compañía proporcionará este nivel de parche a todos los teléfonos Pixel que continúen recibiendo soporte. Sin embargo, las actualizaciones se distribuyen de forma gradual y su disponibilidad puede depender del modelo y del operador móvil.
Google no ha publicado una lista independiente de los modelos afectados específicamente por CVE-2026-58704. Por este motivo, todos los propietarios de teléfonos Pixel compatibles deberían comprobar si tienen una actualización pendiente.
El paquete de septiembre también corrige otros problemas en los componentes de Pixel, incluidas vulnerabilidades críticas de ejecución remota de código, divulgación de información y elevación de privilegios.
Cómo actualizar un Google Pixel
Para buscar una actualización manualmente:
Abre la aplicación Ajustes.
Entra en Sistema.
Selecciona Actualización de software.
Comprueba si hay una nueva versión disponible.
Descarga la actualización y sigue las instrucciones de la pantalla.
Reinicia el teléfono si el sistema lo solicita.
Después de instalarla, puedes comprobar la fecha del parche:
Abre Ajustes.
Entra en Acerca del teléfono.
Abre la información de la versión de Android.
Busca el apartado Actualización de seguridad de Android.
Para estar protegido frente a CVE-2026-58704, debe aparecer el 5 de septiembre de 2026 o una fecha posterior.
Qué hacer si la actualización todavía no aparece
Las actualizaciones de Pixel no siempre llegan al mismo tiempo a todos los dispositivos. Google advierte de que el despliegue completo puede tardar varias semanas, dependiendo del teléfono y del operador.
Si la nueva versión todavía no está disponible:
vuelve a buscarla manualmente más tarde;
conecta el teléfono a una red Wi-Fi estable;
comprueba que la batería tenga suficiente carga;
instala la actualización en cuanto aparezca;
no descargues archivos de firmware no verificados desde páginas externas.
Restablecer el teléfono a los ajustes de fábrica no sustituye la instalación del parche. Para corregir la vulnerabilidad es necesaria la actualización oficial de Google.
¿Deben preocuparse los propietarios de teléfonos Pixel?
No hay información que apunte a un ataque generalizado. La referencia de Google a una explotación limitada y dirigida indica que probablemente se utilizó contra personas concretas y no como parte de una campaña masiva.
Aun así, la posibilidad de atacar el dispositivo sin que el usuario abra un enlace hace que CVE-2026-58704 sea lo suficientemente grave como para no aplazar la actualización. La protección más sencilla consiste en instalar el parche de septiembre y comprobar que la actualización de seguridad de Android tenga fecha del 5 de septiembre de 2026 o posterior.