今年9月15日，谷歌发布了其自有的谷歌Pixel智能手机中110个漏洞的补丁详情。在所有披露的缺陷中，CVE-2026-58704最为突出，因为该零日漏洞似乎正在被针对性攻击所利用。
在今天的帖子中，我们将讨论谷歌Pixel的特别之处，以及为什么这些设备会获得独立于常规Android更新的安全更新。我们还将介绍此次最新更新中解决的漏洞，特别关注上述最危险的漏洞——CVE-2026-58704，并总结如何保护您的设备以及避免成为网络攻击受害者的建议。
为什么谷歌Pixel手机会获得独立于Android的安全更新？
读者可能会合理地想：我已经在我的谷歌Pixel上安装了本月的Android安全更新。这不是同一回事吗？谷歌Pixel确实运行在Android上，并接收这些安全更新，这些更新在每月的Android安全公告中详细说明。然而，基于Android的设备制造商使用不同的硬件和软件组件。这就是为什么，除了所有Android设备共有的漏洞外，还有特定于各个制造商设备的安全问题。
对于其自有的智能手机，谷歌发布独立的安全更新，涵盖在专门的Pixel更新公告中。该文档并不是替代Android安全公告，而是通过详细说明特定于谷歌制造的设备的漏洞来补充它。其他Android智能手机也会从其制造商那里收到类似的更新。
2026年9月的Pixel更新公告清楚地显示了谷歌为何需要为其智能手机提供独立更新。它修复的许多漏洞影响特定的Pixel硬件（或与硬件相关）组件：调制解调器、引导加载程序、GPU、指纹扫描器组件以及设备的其他部分。在其他制造商的智能手机上，这些功能可能依赖于完全不同的硬件和软件组件，因此Pixel更新公告中列出的修复不适用于那些手机。
也就是说，这些漏洞对于已经将设备刷入自定义ROM的Pixel用户仍然可能相关。切换到不同的操作系统并不会改变设备的硬件组件，并且可能不会替换固件。因此，漏洞本身可能仍然存在，但是否有补丁可用以及如何安装取决于特定的操作系统。
CVE-2026-58704：一个在野外被积极利用的零日漏洞
现在让我们更仔细地看看谷歌在9月修复的具体漏洞。最重要的漏洞是上述提到的CVE-2026-58704。
该漏洞影响手机的蜂窝调制解调器组件，该组件处理智能手机与蜂窝网络的通信。它源于代码中的逻辑错误，在某些条件下，允许绕过预期的权限检查。
成功利用CVE-2026-58704使攻击者能够提升智能手机上的权限，从而获得更广泛的功能和数据访问权限。请注意，攻击是在蜂窝网络上进行的，威胁行为者需要在目标设备上获得低级别权限才能开始。
在实践中，这意味着攻击者无法仅通过互联网从任何地方利用CVE-2026-58704攻击Pixel，因为他们显然需要要么破坏目标智能手机已连接的蜂窝网络，要么更可能地强制其连接到他们控制的恶意基站。
谷歌尚未披露该漏洞的所有细节，相关报告也未公开。因此，显示攻击者利用CVE-2026-58704的难易程度的技术细节仍然未知，待所有设备安装补丁后才能得知。
尽管如此，谷歌声称有迹象表明CVE-2026-58704的有限利用。
我们对其他109个漏洞的了解
在谷歌Pixel设备中发现的其余109个漏洞中，只有一个被评为中等；其他的要么为高（62个），要么为严重（46个）。其中九个缺陷属于RCE（远程代码执行）类别。这意味着如果攻击者成功利用其中一个漏洞，他们可以远程强制设备运行恶意代码。攻击的具体条件取决于特定的漏洞。
另外88个漏洞属于权限提升（EoP）类别。这些漏洞允许已经获得一定访问权限的攻击者扩展其权限。上述讨论的CVE-2026-58704漏洞也属于这一类别，这就是为什么9月公告中列出了总共89个EoP漏洞。
最后，10个漏洞可能导致信息泄露（ID），另外两个可能导致拒绝服务（DoS）。总之，这是一个庞大的漏洞列表，因此谷歌Pixel用户不应等待安装补丁。
如何避免成为受害者
谷歌Pixel用户可以通过以下路径安装修复本文中涵盖的漏洞的更新：设置 → 安全与隐私 → 系统与更新 → 安全更新 → 安装。请记住，手机将在安装更新时自动重启。
为了保持手机安全，我们建议采取以下一般措施：
定期及时安装手机上的安全更新——无论是谷歌Pixel、其他制造商的Android智能手机，还是iPhone。
避免从可疑来源安装应用程序。
在从官方商店安装应用程序之前阅读评论，因为恶意软件在那儿也并不少见。已经遭受损失的用户通常会在评论中发出警报，远在商店审核员处理危险应用之前。
安装可靠的安全解决方案，以防止您下载恶意软件，并警告您有关可疑内容。