Android, falla critica: lo smartphone può essere attaccato senza fare nulla

Un messaggio o un contenuto elaborato dallo smartphone potrebbe bastare, almeno in determinate condizioni, per consentire a un aggressore di eseguire codice da remoto senza che il proprietario tocchi lo schermo. È lo scenario alla base della vulnerabilità CVE-2026-58868, una falla critica di Android che Google ha corretto con gli aggiornamenti di sicurezza di novembre 2026. Il problema interessa Android 14, 15, 16 e 17, compresa la versione 16 QPR2, e riguarda un componente del Framework utilizzato per elaborare i dati.

Il bollettino pubblicato da Google il 2 novembre 2026 comprende complessivamente 216 vulnerabilità, delle quali 23 classificate come critiche. Un numero importante, ma soprattutto un’occasione per tornare ad esaminare una questione che accompagna Android da tempo: la disponibilità di una correzione nel codice sorgente non garantisce che tutti gli smartphone la ricevano immediatamente. Nonostante i progressi introdotti prima con Project Treble (ne parlavamo nel 2017) e poi con Project Mainline (dal 2019), la distribuzione degli aggiornamenti dipende ancora, per numerosi componenti, dalle decisioni dei produttori.

Due parole su Project Treble e Project Mainline: gli aggiornamenti di Android che non richiedono un update del firmware

Project Treble ha separato il sistema operativo Android dai componenti software specifici dell’hardware, introducendo un’interfaccia stabile tra il framework e le implementazioni dei fornitori di chipset. L’obiettivo è permettere ai produttori di aggiornare Android senza dover adattare ogni volta l’intero software di basso livello. Project Mainline ha compiuto un passo ulteriore: ha reso alcuni componenti del sistema aggiornabili direttamente tramite Google Play, attraverso moduli APK e APEX, senza richiedere un aggiornamento completo del firmware.

Il limite è che, purtroppo, non tutti i componenti di Android rientrano in questo meccanismo: kernel, driver e numerose parti proprietarie continuano a richiedere interventi specifici dei produttori, con tempi di distribuzione che possono variare sensibilmente da un dispositivo all’altro.

La particolarità della falla CVE-2026-58868 è la possibilità di esecuzione remota di codice (RCE) senza interazione dell’utente.

Allo stato attuale, Google non ha documentato pubblicamente una catena di attacco completa né segnalato, alla pubblicazione del bollettino, episodi di sfruttamento attivo. La decisione è comprensibile: divulgare i dettagli necessari per sfruttare la vulnerabilità prima che gli aggiornamenti raggiungano una parte significativa dei dispositivi significherebbe offrire agli aggressori informazioni preziose per sviluppare un exploit funzionante.

CVE-2026-58868: cosa succede nella memoria di Android

Esiste comunque una descrizione tecnica della vulnerabilità che riconduce alla funzione onOutputReceived(), presente nel file FrameDecoder.cpp, il problema che porta all’eventuale RCE sui terminali Android. Google parla di una possibile scrittura fuori dai limiti della memoria assegnata, provocata da un heap buffer overflow.

Quando un componente deve elaborare una sequenza di dati, può richiedere al sistema operativo un’area di memoria sufficientemente grande per contenerli. Se il codice scrive oltre l’indirizzo finale di quell’area, rischia di sovrascrivere informazioni appartenenti ad altre strutture.

Nel caso di una memoria allocata dinamicamente nello heap, le conseguenze possono variare: crash del processo, corruzione dei dati oppure, nelle condizioni più favorevoli all’attaccante, alterazione del flusso di esecuzione. La trasformazione di una scrittura fuori limite nell’esecuzione di codice arbitrario richiede però condizioni aggiuntive; non è un risultato automatico.

Un dettaglio rimane sconosciuto: il vettore d’ingresso. Le informazioni pubbliche non chiariscono quale contenuto debba raggiungere FrameDecoder.cpp per attivare l’errore, attraverso quale servizio Android né con quali prerequisiti.

Sebbene un aggressione di questo tipo non possa essere esclusa, sulla carta, non è dato sapere se basti avviare un attacco via MMS, Bluetooth o rete WiFi.

Perché un attacco zero-click è particolarmente insidioso

Le vulnerabilità zero-click sono critiche perché riducono o eliminano la necessità di convincere la vittima a compiere un’azione.

Un attacco tradizionale può richiedere l’apertura di un allegato, l’installazione di un’applicazione o la visita di una pagina Web. Un difetto in un componente che analizza automaticamente dati provenienti dall’esterno può invece attivarsi durante le normali operazioni del sistema.

Il punto delicato ha a che vedere con il confine tra i dati non attendibili e codice che li interpreta: un parser deve trattare ogni dimensione, offset e campo numerico come potenzialmente ostile. Basta un controllo insufficiente per compromettere la sicurezza della gestione della memoria.

Android dispone di protezioni importanti: isolamento dei processi, SELinux, restrizioni sui privilegi, randomizzazione degli indirizzi di memoria e meccanismi di protezione contro diversi tipi di corruzione. Non è dato sapere se CVE-2026-58868 permetta il bypass completo di queste misure di difesa.

Patch Android: quale serve per mettere al sicuro lo smartphone?

Google distingue due livelli di patch di sicurezza. Il primo, identificato come 2026-11-01, comprende le correzioni relative ad Android runtime, Framework e System. È sufficiente, secondo il bollettino, per proteggere il dispositivo da CVE-2026-58868 e dalle altre vulnerabilità appartenenti a questo gruppo.

Il secondo livello, 2026-11-05, include anche le correzioni relative ai componenti del kernel e alle vulnerabilità dei fornitori hardware indicate nel bollettino. Uno smartphone che riporta tale data dovrebbe quindi integrare l’intero insieme di aggiornamenti applicabili al dispositivo.

La disponibilità dei due livelli permette ai produttori di distribuire più rapidamente le correzioni comuni, senza dover attendere la completa integrazione degli aggiornamenti specifici dei chipset.

La voce da cercare nelle Impostazioni è Livello patch di sicurezza Android: una data uguale o successiva al 1° novembre 2026 indica la presenza della correzione per CVE-2026-58868, purché il produttore abbia implementato correttamente il livello dichiarato. Il 5 novembre 2026 rappresenta invece il riferimento per il pacchetto completo del mese.

Se la patch non fosse ancora disponibile, bisogna verificare gli annunci del produttore e ripetere il controllo periodicamente. Il bollettino Google non propone una mitigazione alternativa specifica per CVE-2026-58868. Mantenere attivo Google Play Protect, evitare applicazioni di provenienza sconosciuta e aggiornare le app è un atteggiamento prudente e certamente utile, ma nessuna di queste precauzioni sostituisce la correzione della vulnerabilità nel Framework.

Per i dispositivi che non ricevono più aggiornamenti, il problema è più serio. Come spiegato nell’approfondimento per quanto tempo è sicuro usare un dispositivo Android, l’installazione di singoli componenti lato utente non permette di ripararsi da vulnerabilità che affliggono il sistema operativo a più basso livello.