Il bollettino sulla sicurezza Android di novembre di Google include una patch per la CVE-2026-58868, una vulnerabilità critica che potrebbe consentire l’esecuzione di codice da remoto senza alcuna azione da parte del proprietario del telefono. La falla riguarda Android dalla versione 14 alla 17 e la correzione è inclusa nel livello della patch di sicurezza 2026-11-01 o successivo. I produttori di dispositivi e gli operatori distribuiscono gli aggiornamenti secondo i propri programmi.
La vulnerabilità consiste in un heap buffer overflow che potrebbe causare una scrittura fuori dai limiti nella funzione onOutputReceived di FrameDecoder.cpp. Il bollettino di Google e la scheda CVE non spiegano come un aggressore potrebbe raggiungere il codice interessato. La valutazione Critica di Google presuppone che le protezioni integrate in Android e quelle di Google siano disattivate o aggirate.
Al 4 novembre, Google non aveva segnalato attacchi che sfruttassero le falle indicate nel suo bollettino. Al 3 novembre, data dell’aggiornamento, la CVE-2026-58868 non figurava neppure nel catalogo delle vulnerabilità note sfruttate della Cybersecurity and Infrastructure Security Agency statunitense. Android 12 e 13 non sono indicati come interessati, anche se nei registri di Google non viene precisato se queste versioni contengano la falla.
Per verificare il livello della patch di un telefono, apri Impostazioni, tocca Informazioni sul telefono o Informazioni sul tablet, quindi Versione di Android e controlla la data dell’aggiornamento di sicurezza Android. Una data del 2026-11-01 o successiva corregge la CVE-2026-58868 e le altre falle indicate nei componenti Framework, System e runtime di Android. Il livello 2026-11-05 corregge tutte le vulnerabilità del bollettino, comprese quelle che interessano il kernel e i componenti dei produttori di chip e tecnologia.
Il bollettino di Google elenca anche la CVE-2026-58882, una falla critica distinta che potrebbe provocare un denial of service da remoto senza interazione da parte dell’utente. La relativa scheda CVE colloca il problema in decodeWapPdu, una funzione utilizzata per elaborare i messaggi WAP Push recapitati tramite SMS. Un resoconto di un ricercatore del 29 ottobre descriveva un bug nella stessa funzione, ma né Google né la scheda CVE confermano che si tratti della stessa vulnerabilità.
Il bollettino contiene 216 vulnerabilità, 23 delle quali classificate come Critiche. Altre due falle Critiche che potrebbero consentire l’esecuzione di codice da remoto, la CVE-2026-58876 e la CVE-2026-58936, si trovano nel componente System di Android. Il livello della patch 2026-11-05 corregge anche problemi Critici nel kernel, nel codice del modem MediaTek e in un componente Qualcomm closed-source. Il bollettino di Google non indica soluzioni alternative per i telefoni che non hanno ancora ricevuto l’aggiornamento.
Fonti: The Hacker News.