Il bollettino di sicurezza Android di novembre contiene correzioni per 149 vulnerabilità, secondo l’alert AL02/261103/CSIRT-ITA pubblicato dal CSIRT Italia il 3 novembre 2026. Google ne classifica 12 come “critiche” e 137 come “alte”. Una in particolare, la CVE-2026-58882, ha un Proof of Concept (PoC) disponibile in rete, cioè un esempio dimostrativo che mostra come sfruttare il difetto.
Chi è coinvolto
Secondo l’alert, sono interessati i dispositivi con queste versioni di Android, se hanno una patch di sicurezza precedente a novembre 2026:
- Android 14
- Android 15
- Android 16
- Android 16-qpr2
- Android 17
Le vulnerabilità corrette appartengono a più tipologie: Remote Code Execution (esecuzione di codice a distanza), Elevation of Privilege (ottenimento di permessi più elevati del dovuto), Denial of Service (blocco di un servizio) e Information Disclosure (divulgazione di informazioni).
Che rischio c’è
L’alert si concentra sulla CVE-2026-58882, di tipo Denial of Service e nota come “SMS of Death”. Riguarda il componente WapPushOverSms di Android, che gestisce i messaggi WAP Push, un tipo particolare di SMS. La funzione decodeWapPdu, che li elabora, non controlla in modo adeguato alcuni parametri.
Secondo il CSIRT Italia, un utente malintenzionato potrebbe inviare un SMS WAP Push costruito ad arte, senza che la persona colpita debba fare nulla. Il messaggio potrebbe causare l’arresto anomalo del processo com.android.phone, quello che gestisce i servizi di rete cellulare.
Le conseguenze indicate dall’alert sono la perdita dei servizi di rete cellulare e l’interruzione delle chiamate in corso, comprese quelle di emergenza. In certe circostanze il servizio potrebbe restare non disponibile in modo persistente, con riavvii ripetuti del dispositivo.
Nella tabella delle vulnerabilità, l’alert non segnala sfruttamenti attivi per nessuna delle 149 CVE.
Cosa fare
In linea con le indicazioni del produttore, il CSIRT Italia raccomanda di applicare tempestivamente gli aggiornamenti di sicurezza Android. Questi sono distribuiti dal produttore del dispositivo o tramite Google Play System Updates.
- Controllare nelle impostazioni del telefono che la patch di sicurezza installata sia di novembre 2026 o successiva.
- Verificare che gli aggiornamenti automatici siano attivi e, per i dispositivi aziendali, avvisare il fornitore IT affinché distribuisca l’aggiornamento.
Fonte: alert AL02/261103/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 3 novembre 2026 (impatto sistemico critico). Leggi l’alert originale.
