Android corregge 200 falle: alcune permettono attacchi remoti senza toccare lo smartphone

Google ha pubblicato il bollettino di sicurezza Android di settembre 2026, con correzioni per vulnerabilità che interessano componenti fondamentali del sistema operativo.

Il problema più grave riguarda una falla nel componente System classificata come critica: può consentire l’esecuzione di codice da remoto senza privilegi aggiuntivi e senza richiedere alcuna interazione dell’utente. Il bollettino, pubblicato l’8 settembre, distingue due livelli di patch, 2026-09-01 e 2026-09-05. Il secondo comprende ulteriori correzioni, tra cui interventi sul kernel e sui suoi componenti. Google invita a installare gli aggiornamenti disponibili, ricordando che la protezione effettiva dipende anche dalla distribuzione del firmware da parte del produttore del dispositivo.

Le falle più gravi riguardano System e Framework

Nel componente System sono presenti otto vulnerabilità RCE con gravità critica, tra cui CVE-2026-28604, CVE-2026-28618 e CVE-2026-28639. Per queste falle Google indica l’esecuzione di codice remoto senza privilegi aggiuntivi e senza interazione dell’utente. Il bollettino precisa che la valutazione della gravità considera uno scenario nel quale le protezioni della piattaforma siano disattivate per sviluppo oppure aggirate dall’attaccante.

Anche il Framework presenta vulnerabilità rilevanti. CVE-2026-28666 e CVE-2026-55273 sono classificate come critiche e possono consentire un’escalation remota dei privilegi senza ulteriori autorizzazioni. Nello stesso componente compare inoltre CVE-2026-28609, una falla RCE con severità alta. Le correzioni interessano Android 14, 15, 16 e, a seconda del problema, le versioni 16 QPR2 e 17.

Il livello 2026-09-05 aggiunge altre vulnerabilità critiche nel kernel. Tra queste compare CVE-2026-52993, classificata come RCE e associata al componente Transparent Inter-Process Communication. Altre falle interessano NFC e Protected Kernel-Based Virtual Machine, con possibilità di escalation dei privilegi. Il bollettino comprende inoltre correzioni per componenti Arm Mali e GPU PowerVR di Imagination Technologies.

Il produttore deve distribuire la patch completa

La differenza tra i due livelli di sicurezza è importante per verificare la copertura del dispositivo.

Google specifica che l’aggiornamento 2026-09-05 o una versione successiva risolve tutte le vulnerabilità descritte nel bollettino. Il livello 2026-09-01 copre invece il primo gruppo di correzioni, mentre quello successivo comprende anche gli interventi aggiuntivi. La data visualizzata nelle impostazioni dello smartphone permette quindi di capire quale insieme di fix è effettivamente presente. La disponibilità dell’aggiornamento non dipende esclusivamente da Google. I produttori devono integrare le modifiche nel firmware destinato ai propri modelli e distribuirle secondo i rispettivi cicli di supporto.

Android 10 e versioni successive possono inoltre ricevere correzioni attraverso gli aggiornamenti di Google Play per alcuni componenti Mainline, tra cui ART, Media Framework, Wi-Fi e MediaProvider. Google afferma che, al momento della pubblicazione, non risultavano segnalazioni di sfruttamento attivo delle vulnerabilità elencate. La piattaforma dispone inoltre di mitigazioni che possono rendere più difficile l’attacco, mentre Google Play Protect monitora le applicazioni potenzialmente dannose.

Nessuna di queste misure sostituisce però una patch aggiornata. Per un dispositivo compatibile, il controllo più importante resta quindi il livello di sicurezza installato: se disponibile, l’aggiornamento di settembre va applicato senza attendere un successivo ciclo di manutenzione.