Google acaba de publicar una de esas actualizaciones de seguridad que conviene instalar sin esperar demasiado.
El parche de septiembre de 2026 para los teléfonos Pixel corrige 110 vulnerabilidades, varias de ellas críticas, pero hay una que destaca especialmente: CVE-2026-58704, un fallo localizado en el módem celular para el que Google asegura haber detectado indicios de explotación real en ataques limitados y dirigidos. Google lo detalla en el boletín oficial de seguridad de Pixel.
Lo preocupante no es únicamente que esté siendo utilizado.
Según la información técnica disponible, no necesita interacción del usuario para ser explotado. No hace falta pulsar un enlace, abrir un archivo adjunto ni instalar voluntariamente una aplicación maliciosa. Security Affairs recoge este detalle técnico del fallo.
Aunque eso tampoco significa que cualquiera pueda hackear un Pixel desde cualquier lugar.
El problema está mucho más abajo que una aplicación
La vulnerabilidad afecta al módem celular, el componente encargado de gestionar buena parte de las comunicaciones entre el teléfono y las redes móviles.
Google clasifica CVE-2026-58704 como una vulnerabilidad de elevación de privilegios de severidad alta. Técnicamente, se produce por un error lógico que puede permitir saltarse determinados permisos y obtener privilegios superiores dentro del entorno afectado. La clasificación y severidad aparecen en el boletín oficial.
Esto la hace especialmente interesante desde el punto de vista de seguridad porque el ataque no se desarrolla necesariamente en la misma capa donde funcionan nuestras aplicaciones.
Un móvil moderno no es solo Android, WhatsApp, Chrome y las aplicaciones que instalamos. Debajo existen procesadores, firmware, módems, entornos seguros y otros componentes que también tienen su propio código.
Y todos ellos amplían la superficie que se puede atacar.
No tienes que pulsar absolutamente nada
Este es probablemente el detalle más llamativo.
La descripción de la vulnerabilidad indica que la interacción del usuario no es necesaria para explotarla. Ese es uno de los aspectos más relevantes de CVE-2026-58704.
Es precisamente lo contrario de muchos ataques habituales contra smartphones, donde el atacante necesita convencer a la víctima para que pulse un enlace, instale una aplicación o entregue sus credenciales.
Eso no convierte automáticamente este fallo en un ataque remoto capaz de comprometer cualquier Pixel conectado a Internet.
La información disponible indica que el vector de ataque es adyacente, por lo que existen condiciones técnicas adicionales para poder aprovecharlo. Malwarebytes señala además que la información pública no explica cómo conseguiría inicialmente el atacante los privilegios necesarios para completar el ataque. Malwarebytes analiza esas limitaciones.
Dicho de otra forma: no es un botón mágico para hackear cualquier Pixel desde la otra punta del mundo.
Pero sí puede convertirse en una pieza muy valiosa dentro de una cadena de ataque más compleja.
Google cree que ya se ha utilizado contra objetivos concretos
Aquí es donde la vulnerabilidad deja de ser únicamente una posibilidad teórica.
Google afirma en su boletín que existen indicios de que CVE-2026-58704 puede estar siendo objeto de explotación limitada y dirigida. Es la formulación que utiliza la propia Google.
La compañía no ha detallado quién está utilizando el fallo, contra quién, desde cuándo ni con qué objetivo.
Tampoco ha vinculado públicamente el ataque con una empresa de spyware, un gobierno o un grupo concreto.
Y eso es importante porque sería fácil saltar directamente a hablar de Pegasus o espionaje estatal por las características del fallo. De momento, no existe evidencia pública suficiente para hacer esa atribución.
Lo único que sabemos es que Google considera que la explotación está siendo limitada y dirigida, no masiva.
Para la inmensa mayoría de usuarios, por tanto, esto no significa que alguien esté intentando entrar ahora mismo en su teléfono.
Pero sí significa que el fallo ha dejado de ser puramente académico.
Y no es el único agujero importante del parche
CVE-2026-58704 se está llevando buena parte de la atención porque puede haber sido explotado activamente, pero la actualización de septiembre soluciona bastantes problemas más.
El boletín específico de Pixel incluye vulnerabilidades críticas relacionadas con componentes como IP Multimedia Subsystem, libpixelimsmedia, Trusty, GPCA, GSA y el propio módem, además de fallos en Bluetooth, NFC, telefonía, bootloader y pKVM. La lista completa aparece en el boletín de seguridad.
En paralelo, el boletín general de Android de septiembre también corrige vulnerabilidades de la plataforma. Google señala que el nivel de parche 2026-09-05 o posterior incluye las correcciones tanto del boletín de Android como del específico de Pixel.
Si tienes un Pixel, comprueba una fecha
No hace falta entrar en pánico ni apagar el móvil, pero sí merece la pena comprobar que está actualizado.
Google recomienda instalar la actualización en todos los Pixel compatibles y señala que los dispositivos con nivel de parche de seguridad 5 de septiembre de 2026 o posterior están protegidos frente a los problemas incluidos en este boletín.
Se puede comprobar desde los ajustes del teléfono, dentro de las opciones de seguridad y actualización del sistema.
Lo interesante de este caso es precisamente dónde se ha encontrado el problema. Estamos acostumbrados a pensar en la seguridad del móvil en términos de aplicaciones sospechosas, contraseñas, phishing o enlaces fraudulentos.
Pero un smartphone contiene bastante más software del que vemos en pantalla y, a veces, el agujero no está en la aplicación que utilizas, sino en la pieza que permite al teléfono conectarse a la red móvil.
