Google je u rujnu 2026. potvrdio da je manji broj njegovih telefona Pixel kompromitiran preko ranjivosti u modem čipu, bez ikakve radnje samog korisnika.
Ranjivost je zavedena pod oznakom CVE-2026-58704 i nalazi se u mobilnom modemu, čipu koji telefon spaja na mobilnu mrežu. Napad se aktivira bez ikakve radnje žrtve — nema linka na koji treba kliknuti, nema datoteke koju treba otvoriti. Riječ je o takozvanom napadu zero-click — najgorem scenariju za obranu jer korisnik ne može učiniti ništa da ga spriječi.
Tehnički, to je eskalacija privilegija. Napadač u blizini iskorištava logičku grešku u kodu modema kako bi izašao iz svog pješčanika, izolirane zone u kojoj bi trebao ostati, i dohvatio podatke iz ostatka uređaja. Google navodi da je ranjivost „mogla biti predmet ograničenog i ciljanog iskorištavanja” — drugim riječima, netko ju je koristio i prije nego što je zakrpa izdana. Riječ je dakle o zero-day ranjivosti, nepoznatoj u trenutku napada.
Američka agencija za kibernetičku sigurnost CISA uvrstila ju je u katalog aktivno iskorištavanih ranjivosti i dala saveznim upravama tri dana za ispravak, do 19. rujna.
Modem — karika koju Google ne kontrolira
Ranjivost smještena u modem zabrinjava više od ostalih. Ta komponenta radi u zasebnom sloju Androida, s vlastitim niskorazinskim privilegijama. Softverska zakrpa zatvara vrata, ali ne prepisuje silicij urezan u čip. A upravo je to argument Pixel serije: Google kontrolira i hardver i softver, od Tensor G6 do vlastitog sučelja, što bi trebalo jamčiti brže zakrpe i manje ulaznih točaka.
Na modelu Pixel 11 modem se reklamira upravo kao brži i štedljiviji. Ti isti telefoni već imaju problema s povezivošću, a sustav GrapheneOS prijeti da će ih napustiti zbog nedostatka hardverske zaštite koju smatra ključnom.
Vektor nije nov. Početkom 2023. Samsung i Google morali su ispraviti 18 ranjivosti u Exynos modemima koji su opremali Pixele i Galaxyje. Ista slaba točka vraća se na uređajima koje Google ipak dizajnira od početka do kraja.
Koga su gađali?
Google nije imenovao nikoga i nije odgovorio na zahtjeve za pojašnjenje. No riječ „ciljano” u sigurnosnom kontekstu rijetko označava običnog korisnika. Takav zero-click napad omiljeno je oruđe prodavača komercijalnog špijunskog softvera, poput Pegasusa, koji pristup preprodaju državama za nadzor novinara, oporbenih političara ili rukovoditelja. Ništa to ne dokazuje u ovom konkretnom slučaju, ali profil se poklapa.
Ako imate Pixel, postupak je jednostavan: instalirajte sigurnosno ažuriranje iz rujna 2026. u Postavkama, zatim Sigurnost i privatnost. Ono pokriva cijelu gamu, od Pixel 6a do Pixel 11 Pro, i usput dodaje nove zaštite od prijevara.
Ono što ostaje neodgovoreno jest pitanje koje Google izbjegava: ako tvrtka kontrolira cijeli vertikalni lanac, od čipa do sučelja, zašto se ista klasa ranjivosti ponavlja treću godinu zaredom? Odgovor vjerojatno leži u modemu kao licenciranoj komponenti koju Google integrira, ali ne proizvodi. Kontrola nad hardverom i kontrola nad svakim njegovim dijelom nisu isto — a upravo na toj razlici Pixel gradi svoj marketinški identitet. Dok god modem ostaje crna kutija unutar vlastitog ekosustava, argument „sve je naše” ostaje prije slogan nego garancija.