Il bollettino di sicurezza Android di novembre mette in fila 216 vulnerabilità corrette, di cui 23 classificate come critiche. Il dato, già di per sé corposo, nasconde però una minaccia più insidiosa delle altre: alcune falle possono essere sfruttate senza che il proprietario dello smartphone debba fare nulla, nemmeno aprire un link o installare un'app. È la cosiddetta categoria degli attacchi a interazione zero, tra le più temute dagli esperti di sicurezza.
La falla CVE-2026-58868
La vulnerabilità più pericolosa è identificata come CVE-2026-58868 e riguarda il componente Framework di Android, presente nelle versioni 14, 15, 16 e 17. Chi riuscisse a sfruttarla potrebbe eseguire codice da remoto (Remote Code Execution, RCE) sul dispositivo, senza alcuna interazione da parte dell'utente e senza bisogno di privilegi aggiuntivi. Un mix che rende la falla particolarmente appetibile per gli attaccanti.
Un errore di gestione della memoria
All'origine del problema c'è un difetto nella gestione della memoria del file FrameDecoder.cpp: il termine tecnico è heap buffer overflow, un errore che consente di scrivere dati al di fuori dell'area di memoria prevista. In determinate condizioni, questa anomalia può essere sfruttata per eseguire codice non autorizzato sul dispositivo, aprendo la strada a scenari di compromissione totale.
Google ha già rilasciato le patch per i dispositivi supportati, ma l'aggiornamento resta nelle mani degli utenti e dei produttori: la raccomandazione è installare al più presto il bollettino di novembre, verificando che il proprio smartphone riceva effettivamente le correzioni. In un ecosistema frammentato come quello Android, la rapidità di distribuzione delle patch resta il vero punto debole.
