Điện thoại Google Pixel bị tấn công qua lỗ hổng zero-click
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) yêu cầu các cơ quan liên bang chỉ có 3 ngày để vá lỗ hổng.
Cả Google và chính phủ Mỹ đều cảnh báo rằng các tin tặc đã lợi dụng một lỗ hổng zero-day liên quan đến xác thực không đúng trong modem di động của điện thoại Pixel.
Lỗ hổng này cho phép vượt qua các kiểm tra quyền truy cập và leo thang đặc quyền mà không cần bất kỳ tương tác nào từ người dùng. Lỗ hổng này đã được khắc phục, miễn là bạn cập nhật thiết bị.
Hãy cập nhật ngay điện thoại Pixel để tránh bị tấn công bởi lỗ hổng bảo mật nghiêm trọng mới phát hiện.
Google đã công bố lỗ hổng nghiêm trọng này, được định danh là CVE-2026-58704, vào thứ Ba vừa qua, đồng thời cảnh báo rằng “lỗ hổng này có thể đang bị khai thác có chủ đích, giới hạn.”
Nói cách khác: các đối tượng xấu đã phát hiện và khai thác lỗ hổng này trước khi Google kịp vá lỗi.
Hiện tại, các trang công nghệ chỉ có rất ít thông tin chi tiết về lỗ hổng này, ngoài việc nó tồn tại trong modem của điện thoại Pixel, đang bị khai thác ngoài thực tế và có thể bị lợi dụng thông qua các cuộc tấn công zero-click, tức là không cần sự tương tác của người dùng.
Tuy nhiên, các cuộc tấn công zero-click như vậy thường được các nhà sản xuất phần mềm gián điệp thương mại sử dụng để theo dõi các cá nhân bị nhắm mục tiêu.
Vào thứ Tư, Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã bổ sung mã CVE này vào Danh mục Lỗ hổng Đã bị Khai thác và yêu cầu các cơ quan liên bang chỉ có ba ngày, tức đến hết ngày 19 tháng 9 để vá lỗ hổng này.
“Loại lỗ hổng này thường là điểm tấn công của các đối tượng mạng độc hại và gây ra rủi ro nghiêm trọng cho hệ thống liên bang,” theo cơ quan phòng thủ mạng này cho biết.
Website của Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA).
Đầu tháng này, CISA cũng đã bổ sung hai lỗ hổng của Google Chromium, CVE-2026-85046 và CVE-2026-87491, vào danh mục KEV của mình.
CVE-2026-85046 là lỗ hổng nhầm lẫn kiểu dữ liệu trong công cụ JavaScript V8 của Chromium, cho phép tin tặc từ xa thực thi mã trong sandbox thông qua một trang HTML được tạo đặc biệt. Lỗ hổng này ảnh hưởng đến tất cả các trình duyệt dựa trên Chromium, bao gồm Google Chrome, Microsoft Edge và Opera.
Lỗ hổng thứ hai, một lỗ hổng ghi ngoài phạm vi bộ nhớ được định danh là CVE-2026-87491, cũng tồn tại trong công cụ V8, cho phép thực thi mã từ xa và ảnh hưởng đến tất cả các trình duyệt dựa trên Chromium.
Các nhà nghiên cứu bảo mật tại Proofpoint tuần trước cho biết rằng ít nhất bốn nhóm gián điệp đã kết hợp ba lỗ hổng bao gồm CVE-2026-85046 để xâm nhập vào mạng lưới của các tổ chức tại Mỹ và Đông Nam Á.
AI trỗi dậy, hủy diệt Google Search.
